iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 01:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google Cloud Functions開始支援Java 11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布自家的無伺服器服務<a href="https://cloud.google.com/blog/products/application-development/introducing-java-11-on-google-cloud-functions">Cloud Functions開始支援Java 11</a>，在去年的時候，Google提供了Java 8的Alpha測試版本，而現在則是提供Java 11的Beta版本，提供更新的Java長期支援版本，另外，Cloud Functions也良好地支援Java Functions框架、Spring Cloud Functions以及Micronaut。</p> <p>Cloud Functions是一個事件驅動的無伺服器運算平臺，讓使用者不需要配置伺服器就能執行程式，而現在Google在Cloud Functions中支援Java 11，用戶可以在上面執行Java、Kotlin、Groovy以及Scala等JVM語言。</p> <p>用戶可以開始使用Java 11在完全託管的環境中，部署以Java 11開發的函式，並且可以存取專用VPC網路中的資源，Java函式會根據負載自動縮放運算資源，用戶也可撰寫HTTP函式來回應HTTP事件，或是撰寫後臺函式以處理各種雲端和GCP服務事件。</p> <p>在框架支援上，支援開源的Java Functions框架，能用來編寫可以移植的Java程式，用戶可先在本地端開發函式，並在之後將其部署到Cloud Functions或是其他Java環境。</p> <p>除了Google的Java Functions框架之外，現在Micronaut框架和Spring Cloud Function專案，也都對Cloud Functions提供開箱即用支援。Micronaut提供了Functions Java 11 Runtime專有支援，用戶能以Micronaut開發模型代替Functions框架的HttpFunction介面實作。</p> <p>而Google也與Spring團隊合作，推出Spring Cloud GCP專案，讓Spring Boot用戶可以簡單地在Google雲端上開發程式，最近還更新推出了Spring Cloud Function GCP配接器（Adapter），Google提到，由於單純的Java函式就僅是函式，因此不需要修改程式，就能將Spring Cloud Function應用程式轉到Cloud Functions上運作。</p> </div></div></div>
2020/5/29 11:10作者李建興https://www.ithome.com.tw/news/137903
開放銀行第二階段Q3上路，18支消費者資訊開放API和規範細節終於公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委黃天牧日前宣布臺灣開放銀行（Open Banking）第二階段將在今年第3季上路，並先採取試辦模式。而在5月26日一場線上活動中，負責TSP媒合的政大，以及負責制定Open API技術與資安標準的財金公司，共同揭露開放銀行第二階段最新進程與規劃。</p> <p>政大金融科技中心主任王儷玲在說明會表示，開放銀行第二階段的開放將是我國開放銀行建立健全體制的關鍵時刻。許多的技術、資安與法遵規範都必須在這階段建置完成，臺灣的開放銀行才能持續往前邁進。</p> <p>王儷玲還提到，該階段包括了建立技術合規標準、API共同驗證測試標準、資安風控技術認證、提供合規雲端資安合規環境、後續資安與法遵合規稽核查驗、爭議處理與責任歸屬、資安保險等機制。</p> <p>相較於開放銀行第一階段是開放公開的非交易面金融資訊為主，第二階段開放的消費者資訊，是以個人金融資訊以及低風險金融申請服務為主，可查詢帳戶與簡易信用卡服務。王儷玲表示，該階段共有18支API，應用項目分為存款、貸款、其他銀行服務。應用情景像是帳戶餘額查詢、帳戶整合、信用卡比價、貸款比價、投資理財推薦、信用卡設定等。</p> <p>甚至，到未來第三階段要開放的交易面資訊，目前規劃是以消費者支付、交易功能為主，應用情境像是信用卡點數使用、代收代付等。</p> <p>不過，她提到，銀行對於把資料開放出去有所疑慮，加上營運標準難達成，以及連線標準門檻高，還有雙方獲利模式不明，都是開放銀行推行阻礙。為此，政大在上個月的說明會，提到要<a href="https://www.ithome.com.tw/news/137002">為TSP合規提供輔導</a>，讓TSP先符合銀行在資安與法遵的各種要求，再來與銀行談業務上的合作。</p> <h3><strong><span style="color:#800080;">第二階段開放那些消費者資訊查詢？API應用項目首度公開</span></strong></h3> <p>財金公司企劃部專案經理時薇茜則在說明會揭露開放API現行業務推動進程，與第二階段消費者資訊查詢規劃，以及API應用項目。</p> <p>她提到，財金公司在去年底已完成第二階段消費者資訊查詢技術與資安標準制定。今年，要進行第二階段技術與資安標準的核備，並且，協助銀行就核定版的技術與資安標準，進行業務申請試辦。</p> <p>此外，今年財金也會持續觀察國際間如英國、澳洲、香港、新加坡等國的發展情勢，蒐集金融機構、產業界與學界需求與意見，再配合主管機關的核定時程，來訂定第三階段交易面資訊的標準，並滾動式增訂技術規格與完備資安規範。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OPEN%20API%20%20(4).png" /></p> <p>根據銀行公會自律規範修訂重點，第二階段消費者資訊查詢，新增提供金融往來資訊以及申請金融產品與服務。時薇茜解釋，金融往來資訊是指消費者基本資料與銀行間往來的金融帳戶與產品相關資料，比如帳戶餘額查詢、信用卡交易資訊、金融往來歷史交易記錄資訊。另一個則是消費者向銀行申請金融產品與服務，像是存款帳戶開戶申請、信用卡申請、信用卡附加功能申請、電子帳單申請及取消等。</p> <p>自律規範提到，金融機構與TSP業者雙方的合作需簽訂合作契約。而TSP與金融機構透過財金開放API平臺進行訊息傳輸，則會由TSP業者簽訂平臺使用規範聲明書，算是合作契約的附件，在申請上線時，則由金融機構代為交付。</p> <p>自律規範也規定，金融機構需取得消費者事前同意，就能提供消費者資料給TSP業者，並須留存相關記錄。時薇茜進一步提到，在流程上，TSP要協助使用者去金融機構獲取金融往來資訊前，得先以業者身份獲取使用者服務需求與同意，使用者在這架構下，再導頁到金融機構進行OAuth身份認證與資料授權。</p> <p>財金公司提到，去年底，銀行公會制定的自律規範，以及財金訂定的技術與資安標準都已函報給金管會。金管會上半年仍在進行資料整合與審查作業，她透露，金管會近期可能就會以現行自律規範與技術與資安標準有一個核定，或者是有修訂建議會提供公會或財金。</p> <p>時薇茜提到，今年下半，金融機構可與合作的TSP業者，針對現行核備的自律規範與技術與資安標準，來提報金融機構業務申請試辦，試辦內容可依據金融創新試辦要點來進行。然而，因第二階段涉及使用者個人金融往來資訊，很直接影響到消費者權益，參考國際間趨勢，且為了謹慎與穩健辦理業務，所以會透過金融機構用業務試辦方式，進行第二階段自律規範、技術與資安標準的實證，後續再將實證結果報給主管機關參考。</p> <p>有別於第一階段參與的TSP業者多為FinTech新創，財金公司指出，未來與銀行跨域合作的TSP業者，不管是科技新創、電商業者、電信業者，甚至是其他金融機構，只要符合共通的業務與技術規範及資安標準框架這個前提，都能與金融機構合作拓展開放銀行場域，實踐金融服務多樣性。</p> <p>財金公司更首度揭露第二階段API應用項目，共分為存款、貸款、其他銀行服務3大類，共有18支API，比如貸款類就開放了10支API，像是申請信用卡道路救援、申請信用卡本期帳單分期、查詢信用卡當期帳單資訊、查詢信用卡帳單交易明細等。不過，財金強調，這些未來都會滾動式調整修訂。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OPEN%20API%20%20(9).png" /></p> <h3><span style="color:#800080;"><strong>第二階段三大技術要求重點：訊息處理、憑證作業和認證機制</strong></span></h3> <p>在這場線上會議中，財金公司研發部組長洪國峻也針對開放API第二階段測試驗證進行說明，從中可以進一步看到未來第二階段在金融機構與TSP之間的技術運作方式，主要有三大重點，訊息處理、憑證作業和認證機制的要求。</p> <p>在訊息處理部分，因應各金融機構OAuth處理機制不同，同時為簡化連線方式，OAuth訊息由TSP業者直連金融機構。而API訊息則由TSP業者介接財金後，再由財金轉接金融機構。</p> <p>在憑證作業部份，銀行、TSP、財金端皆採用TLS雙向認證，而雙向認證會用通訊憑證辦理。所以，當TSP與金融機構簽署合作並完成註冊時，金融機構將先取得TSP通訊憑證。而金融機構API訊息如果是經由財金介接，則須提供銀行通訊憑證與先前取得的TSP通訊憑證給財金，做雙向憑證設定。接下來，財金將提供財金的通訊憑證給金融機構，金融機構再將財金通訊憑證交付給TSP業者。</p> <p>而根據安控作業規範，在認證機制上，TSP業者的代理存取端與金融機構的資源伺服器或授權伺服器間，應建立認證機制。要遵循TLS雙向認證或是以簽章的JSON Web Token（JWT）作認證，採用憑證者，則要驗證憑證與憑證的正確性與有效性。另一個是，要用事先設定的來源網路位置（IP）正面表列管制。</p> <p>洪國峻提到，為了因應這兩點措施，財金公司在技術標準規劃，如果TSP直接介接金融機構，金融機構則依現行作法因應即可。但如果TSP由財金公司轉接金融機構，將採TLS雙向認證方式，財金在API訊息結構Http Header中，將提供TSP業者資訊提供給金融機構辦理認證作業，包括憑證序號、發證單位、來源IP，這三個欄位則分別放在X-CSN、X-ISR、X-CIP，金融機構收到這三個欄位，就可以遵循安控作業規範去做事前認證。</p> <p>為了確保提供API的銀行，以及介接的TSP雙方技術設計都能符合規範，財金也設計了兩階段測試驗證。包括金融機構測試，以及TSP與金融機構測試，前項測試包含訊息收送、加解密處理；而TSP與金融機構間的測試，除了訊息收送、加解密處理，還多了一個認證授權（OAuth）。</p> <p>洪國峻進一步解釋，在金融機構測試部分，主要是要驗證金融機構第二階段技術標準的API訊息實作完成度，由財金公司依據測試範圍驗證金融機構API訊息。他表示，測試範圍包括查詢臺外幣活存存款帳戶餘額、查詢臺外幣活存存款帳戶交易明細資訊這2項存款類的API，金融機構要在測試前提供Access Token供財金公司後續辦理測試。</p> <p>而財金公司與銀行端都需實作TLS雙向認證。所以，金融機構在測試前須交付API yaml檔與銀行通訊憑證給財金，財金則要交付自家的通訊憑證，提供銀行設定雙向認證。接下來，財金就會辦理API上架。</p> <p>在TSP與金融機構測試這階段，則是要驗證TSP與金融機構在第二階段技術標準的實作整合性，由TSP業者與金融機構依據業務規劃進行相關測試，財金公司則會在測試過程中協助排除雙方遭遇的問題。</p> <p>洪國峻表示，該階段目前規劃兩大類測試範圍，一類是認證授權，共有4支API需實作，包括認證授權、取得存取代碼、取消存取代碼、檢核存取代碼。另一類測試，則依照金融機構在第二階段要提供的業務範圍進行測試，這部分則由金融機構自選。文⊙李靜宜</p> </div></div></div>
2020/5/28 19:34作者李靜宜https://www.ithome.com.tw/news/137909
【科技抗疫實例：臺灣開放資料】口罩地圖應用吸引他國仿效，但也凸顯臺灣開放資料4困境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">近來臺灣的防疫表現全球有目共睹，除了官方第一時間坐鎮指揮，擬定各項政策來防堵疫情，民間力量也沒有缺席，尤其行政院數位政委唐鳳主導開放藥局資訊與口罩庫存資料後，催生了上百個由民間社群自主開發的口罩地圖應用，有效紓緩且分散了蜂擁到各大藥局買口罩的人潮，確保一天400萬片口罩能分配到民眾手中。</p> <p dir="ltr">這一波透過開放資料凝聚公私力量抗疫的臺灣浪潮，更引起國際間的關注，不僅影響日本東京展開與民間社群合作，首度讓社群負責建置整個疫情專網，南韓更直接跟進臺灣的口罩實名制政策，並釋出開放資料供民間使用。</p> <p dir="ltr">長期浸淫在開放資料領域的江明宗，也參與了這一波臺灣口罩地圖開發潮，他以這次實際防疫來說明開放資料的重要性。臺灣在疫情初期，各大便利商店、藥局的口罩幾乎被一搶而空，當時出現的第一個社群自製的超商口罩地圖，需要靠人力一筆一筆回報各地超商口罩庫存量，才能提供民眾查詢，還只能顯示充足、量少、售完三種指標；但官方開放藥局與口罩庫存資料後，不僅能一次釋出六千多個藥局的庫存資料，結合臺灣原有的健保資訊系統，還可以根據每個人的實名購買紀錄，即時更新口罩存量。</p> <p dir="ltr">江明宗說，以臺灣而言，雖然邊境管制、口罩配給政策才是防堵疫情的關鍵，但上而下的開放資料，可以減少人工統計、抄寫可能導致的錯誤，在開發者加工成各種口罩查詢應用後，加速正確資訊的傳遞，減少民眾買不到口罩可能引發的恐慌與社會混亂，「開放資料某種程度上扮演穩定人心的角色，降低了民怨。」</p> <p dir="ltr">這次臺灣開放資料甚至被譽為「鍵盤救國」成功案例，獲得多國政府的重視。比如日本東京政府就參考臺灣公私協同合作的模式，展開與民間社群Code for Japan的合作，開放資料讓社群建置疫情分析網站，這些資料不僅包含各地檢驗與確診病例數，更細分為住院、重症、在家隔離人數等，甚至連疫情相關的電話諮詢數、地鐵搭乘人數、政府訪客數等資料都一併釋出，由社群設計成圖表，來呈現疫情趨勢變化。不僅如此，開發者也開源程式碼，讓日本其他地方政府也能快速響應。</p> <p dir="ltr">南韓更直接仿效臺灣口罩政策，採取口罩實名制並釋出開發者所需資料的API，讓社群能更快速運用資料來開發相關應用。不過，江明宗也指出，由於臺灣健保系統已經與各藥局連線，能在民眾用健保卡購買口罩時，自動更新庫存資訊，甚至每30秒、1分鐘就能查詢最新資料；反觀南韓政府只釋出藥局的指標性庫存資料，許多資料也還仰賴人工更新，導致更新時間延遲，「南韓很難短時間內跟進。」</p> <p><strong><span style="font-size:28px;">從臺灣口罩地圖來看開放資料挑戰</span></strong></p> <p dir="ltr">不過，在社會上一片讚揚聲浪中，江明宗反而看見了臺灣開放資料的困境，他大致整理出了四項。</p> <p dir="ltr">第一項困境是開放資料的品質考驗，尤其是政府開放資料的格式，直接影響了資料的開發與使用。他解釋，這次政府開放的藥局資訊與口罩庫存資料，採Excel表單檔案釋出，卻沒有包括藥局確切的地理座標，後續釋出的藥局座標資料也未經過驗證，反而要靠民眾回報錯誤來一一修正。相較之下，後來跟進的南韓在開放藥局資料時，就直接採API形式提供，更包含了完整的座標資訊，來貼近開發者的需求。</p> <p dir="ltr">兩國作法相比，不僅凸顯了臺灣開放資料的格式與品質，還不夠貼近使用者需求，「也凸顯了跨部門資料欠缺共享利用的問題。」江明宗進一步指出，過去很多工廠資料、公司登記資料沒有精確的地理座標資訊，其實，「這些資料如果過去有與民政系統連結，經過規格化就可以解決。」舉例來說，如果民政單位直接提供住址查詢API的服務，在輸入精確的住址資訊後，就能透過系統取得唯一的識別碼與地理座標，讓資料更易於使用，這次藥局座標資料不全的問題也就迎刃而解。</p> <p dir="ltr">第二項，這次疫情資料開放範圍過於侷限，只開放了口罩與藥局資料。後來，江明宗指出，社群陸續向政府申請了小維度的地區病例數、居家隔離人數、檢驗人數等資料，但卻遲遲沒有得到政府明確的回覆，政府機構與社群溝通也不足。反觀日本，東京府與Code for Japan的合作，不僅開放資料，甚至直接將整個官方疫情資訊入口網站交給社群建置，從結果來看，雙方互動密切，社群提出的資料需求，也能獲得更大的討論空間。</p> <p dir="ltr">第三個困境是，臺灣開放資料至今缺乏一套制度化的規範，「這次開放資料會不會只是特例，無法在其他政府單位重現？」這是江明宗向來擔心的問題。他舉例，過去民眾申請開放資料後，完全由提供的行政機關自行決定是否開放，沒有一個專責單位有權判斷各類資料開放的可行性，並強制負責機關來執行，導致許多申請案都不了了之。這次能順利開放資料，有賴唐鳳直接與政府單位居中協調，才減少了機關內層層上報可能遇到的阻礙，「期待政府能盡快制定開放資料專法，解決結構性問題。」他建議。</p> <p dir="ltr">最後一項，江明宗特別點出了開放資料過程中的隱私問題。以各地染疫人口數據來說，依流行性傳染病開放慣例，原先詳細到村里等級的數據都會公開，但在這次疫情中，政府卻以保障隱私為名擅自撤下各地染疫人口數據，「對一般人來說，這是一種知情權的剝奪，反而會讓更多人質疑政府公信力。」他認為，就算要撤下，也應遵循更制度化決策方式，而不是只針對單一事件採取反射性的作為。</p> <p dir="ltr">還有另一個與隱私密切相關的資料應用，江明宗認為，政府透過電信資料取得並公開確診病患的移動軌跡，已經違反了當初蒐集資料的目的，「從我的角度來看，這已是一種侵犯隱私的行為，」他強調，個案的移動軌跡是受保護的個資，即使疫情嚴峻，也該謹慎採用，「跟歐美國家相比，我們對於隱私的考量真的粗糙很多。」</p> <p dir="ltr">但他並非主張，隱私資料完全不能用，而是希望在資料採用之前，能公開徵詢更多意見，同時透過完善的監督機制避免資料濫用，並設定資料使用的期限。「但是現況是，各部會競相以防疫為由蒐集更多隱私資料，如果又缺乏監督機制，一旦隱私資料被濫用，恐怕會讓過去臺灣詐騙橫行的社會問題重現。」江明宗表示。</p> </div></div></div>
2020/5/28 17:28作者翁芊儒https://www.ithome.com.tw/news/137905
【科技抗疫實例：衛福部、DeepQ】跨部會攜手企業打造居家關懷系統，每日追蹤數萬人健康狀況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>守住入境和居家檢疫隔離防線，是臺灣對抗武漢肺炎（COVID-19）成功的關鍵。自疫情爆發以來，中央流行疫情指揮中心除了做好邊境檢查、條件式入境等基本功，也搭配居家檢疫和隔離措施，來防堵疫情擴散。</p> <p><strong><span style="font-size:28px;">入境檢疫系統打下防疫第一關</span></strong></p> <p>但是，在三月發布出入境禁令前，單月入境人次最高可達兩百多萬，要準確追蹤這些高風險族群，還需要一套強而有力且快速的作法。有別於先前要求旅客手寫入境健康聲明，政府借助科技和跨部會合作，在短短數天內就開發一套電子版的健康聲明書（也就是入境檢疫系統），不僅取代紙本，更關鍵的是，還能掌握旅客有效的聯絡手機，打下日後居家追蹤的基礎。這套入境檢疫系統，在二月中正式上線，至今也仍在使用。</p> <p>一名近日從日本返臺的旅客黃泓瑜，就和iThome分享了入境防疫的第一手經驗。「早在日本辦理登機時，華航櫃臺就提供了QR Code，手機掃描後，可直接填寫資料，像是入境基本資料、症狀、在臺聯絡手機號碼。」</p> <p>就算當下使用他國門號，抵臺換回臺灣SIM卡後，仍可收到簡訊發送的健康憑證。「回臺入境後，除了簡單問答，很快就能通關了，」他說。</p> <p>不只減少紙本，衛福部聯手行政院資通安全處開發的這套系統，還串聯了許多系統如移民署、民政單位，更能縮短資料傳遞的時間，降低防疫漏洞。</p> <p><strong><span style="font-size:28px;">高風險族群入境後追蹤，尋人系統首先預防趴趴走</span></strong></p> <p>除了第一關的邊境防疫，接下來，就是要掌握居家檢疫和隔離對象的動態。疫情最高峰時，同時管理的居家檢疫人數超過5萬人，這對防疫單位來說，可是一大挑戰。</p> <p>二月初，原本確認居家檢疫或隔離的作法，是先由移民署將旅客入境資料交給疾管署，篩選出高風險族群後，再交給民政局和地方單位如里幹事等人來處理。</p> <p>但這個作法仍有資料傳遞的時間差，曾有檢疫或隔離對象，違規離開規定場域，通報系統卻無法即時回報。為解決這個問題，衛福部資訊處花不到一周時間，跨部會整合了移民署、戶政司、NCC等部會資料，連夜趕工打造出一套尋人資訊系統，在二月中正式上線。</p> <p>這套尋人系統鎖定居家檢疫和隔離者，結合移民署入境收集的聯絡地址、戶政的戶籍地址，以及NCC的電信帳單地址，透過串接這三個地址資訊，系統就可在第一時間通知三區里幹事，同時在三個地點先行尋找，有別於過去一個地點找完才換下一個。此外，鄉鎮縣市機關，也會在第一時間收到相關通知。</p> <p><strong><span style="font-size:28px;">居家檢疫好幫手，Chatbot每日把關身體狀況</span></strong></p> <p>尋人系統只是用於例外管理，臺灣疫情期間，最多需同時管理數萬名高風險民眾，得天天追蹤他們的每日健康狀況，為了減輕第一線關懷人員的負擔，政府還祭出了另一套關鍵作法，就是Line聊天機器人疫止神通。</p> <p>疫止神通是由政府公益合作企業HTC健康醫療事業部DeepQ所開發，他們原本就負責打造疾管署防疫聊天機器人，後來向衛福部提議，再打造一個聊天機器人，專門用於輔助居家檢疫作業。3月12日正式動工，衛福部資訊處負責串接系統、建置資料庫，也負責跨部會溝通，整合移民署、疾管署等部會資料和第一線關懷中心的需求，最後再串接到DeepQ負責的前端應用，最後在4月3日正式上線。</p> <p>疫止神通專案核心人物DeepQ資深處長游山逸解釋，進行跨單位串接前，會先召開工作會議決定作業流程，再確認資料串流方向、時間和資料格式，並採分段拋轉資料，先定時將資料拋轉到指定資料中心，再轉拋給至關懷中心。</p> <p>回國後連續兩周天天用的黃泓瑜分享，他一離開機場沒多久，就收到衛福部Line的好友通知，加入後，填妥幾項資本資料，如入境日期、身分證字號和護照號碼等，就完成第一步驗證確認。</p> <p>疫止神通串接了入境檢疫系統的資料，因此能立即找到使用者。而「使用者填寫的資料，會送至疾管署後臺，來驗證居家檢疫者身分，」他指出。</p> <p>疫止神通在居家檢疫期內，每天上午推播訊息，讓檢疫對象回報健康狀況，除了體溫，還可勾選9種症狀，像咳嗽、流鼻水、腹瀉、全身無力、味覺或嗅覺喪失等。這些每日健康評估資料，會自動傳送至資料中心，再轉拋到第一線關懷中心。所以，「如果過了中午還沒回報，里長等第一線關懷人員就會打電話關心，」游山逸說。</p> <p>除了每日健康評估，疫止神通也會詢問民眾是否需要就醫，並提供當地民政關懷機構和防疫專線1922等資訊，以備不時之需。這款簡單的聊天機器人，上線至今已助政府追蹤近3萬名高風險民眾。</p> <p><strong><span style="font-size:28px;">硬體和資料流程挑戰都難不倒</span></strong></p> <p>不過，要在短時間內開發，團隊也遇到不少困難。首先是硬體問題，「由於疫止神通涉及個資，得將系統部署於中華電信機房的虛擬伺服器。」游山逸坦言，這些機器需手動開設，不如雲端自動部署方便，還要需花大量時間測試負載和穩定性，來因應居家檢疫使用人數。</p> <p>不只如此，由於系統跨許多單位，上線前還須不斷確認跨系統的連接，檢查資料是否遺漏。比如，系統拋轉居家檢疫者的身分資料至疾管署時，在過程中遺漏一些資料，就會造成身分驗證失敗。也因為如此，團隊格外加強測試，解決資料拋轉移詩問題。</p> <p>儘管如此，DeepQ團隊在開發過程中，也提出不少新功能的點子。比如，要求居家檢疫民眾在疫止神通上回報位置資訊，來輔助電子圍籬，加強定位準確度。</p> <p>另一個點子，則是想利用提供疫情資訊的疾管家，來提供個人染疫的風險預測。也就是說，當指揮中心公布確診者的移動軌跡時，疾管家可提供同步比對功能，只要使用者願意提供自己的移動紀錄，就能互相比對時間、地點和距離等，進而推算出染疫風險。不過，游山逸表示，政府因擔心引起附近居民和商家恐慌，且顧及隱私的情況下，未採用兩個點子。文⊙王若樸</p> </div></div></div>
2020/5/28 18:32作者王若樸https://www.ithome.com.tw/news/137908
【科技抗疫實例：衛福部、臺北榮總】放寬遠距醫療適用對象，641次高風險看診醫病免接觸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初武漢肺炎（COVID-19）疫情急遽升溫，政府不只祭出居家檢疫和隔離手段，還特地在二月發出函釋、放寬通訊診療適用範圍，讓居家檢疫和隔離者可透過視訊看病、拿藥，不只照護就醫需求，也降低民眾於居家檢疫或隔離期間內，為了就醫而擅自離開規定場域的問題。</p> <p>這個做法，也大幅降低第一線接送人員、醫護人員的風險。根據健保署統計，截至五月中，加入衛生局指定通訊診療的醫院，就有4,002家，而自二月啟動以來，已有641次使用人次。也就是說，這套通訊診療措施，成功擋下了至少641次的高風險接觸。</p> <p><strong><span style="font-size:28px;">針對檢疫隔離就醫需求，衛福部決定放寬遠距診療限制</span></strong></p> <p>自一月底啟動居家檢疫和隔離以來，二月份居家隔離和檢疫人數累計近3萬人。這些民眾在檢疫或隔離期間，難免出現身體不適、需要就醫的情況，但過去各縣市並未有統一的做法，導致民眾就醫有所困難。後來，衛福部決定放寬遠距醫療的適用對象來分流。</p> <p>原本，通訊診療法規適用對象，只限於診療境外病人、剛出院病人，且無法開藥、無健保給付。因此，衛福部先放寬法規適用範圍，在2月10日（第1091660661號函釋）和19日（第1091661115號函釋）發出兩次函釋，將居家隔離和檢疫民眾的就醫需求，擴大列入通訊診療的適用範圍，讓醫生可在醫院透過電腦、手機或平板上的視訊，來進行診療，開藥給居家檢疫或隔離的民眾，甚至，連初診病患都可以適用。居家檢疫或隔離民眾透過所在地市政府衛生局轉介，可與指定的醫療機構進行遠距視訊診療。</p> <p>不過，不是每一家醫院都可以自行提供遠距診療，而由各縣市衛生局把關，列出可診療的指定機構。另外，衛福部還是有提出了一些要求，來確保遠距醫療的品質。例如進行過程中，醫生的位置必須在醫院中進行，以確保病患隱私，而且要再病歷上註明是採通訊方式進行診療，而醫事人員執行通訊診療的醫囑時，還要同時保存執行紀錄和病歷。</p> <p><strong><span style="font-size:28px;">臺北榮總分5步驟實施遠距診療</span></strong></p> <p>我們也特別找來2月就加入臺北市衛生局指定通訊診療機構的臺北榮總，從第一線的角度來分享實際執行這次遠距診療政策的情況。</p> <p>遠距診療執行流程，大致分為五個步驟。首先，居家檢疫或隔離民眾有就醫需求時，可撥打當地衛生局專線，只要符合無發燒或呼吸道症狀，或是慢性病患者，就能進行通訊診療。</p> <p>接著，衛生局會轉介民眾至通訊診療機構，比如臺北榮總。之後，醫院專員會詢問病情、約定診療時間，並完成掛號。對臺北榮總來說，這套讓民眾線上掛號的系統，是以去年自行開發的一套通訊診療掛號平臺和通訊診療系統為基礎，另外民眾可透過手機專用App來操作。</p> <p>掛號完成後，系統會發送簡訊給醫生和病人，包括診療日期和一次性視訊的網址連結，讓雙方在應診當天開啟，不洩漏任一方手機號碼。但是，臺北榮總醫企部主任李偉強指出，在視訊當天，家屬或代理人還需攜病人健保卡到診間候診，「這樣才能開藥。」</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/1090224_1_%E6%89%8B%E6%A9%9F%E7%B0%A1%E8%A8%8A.jpg" /><br /> 以臺北榮總遠距診療作法為例，完成通訊診療掛號後，系統會發送簡訊通知醫生與患者，包含診療日期和視訊網址。</p> </blockquote> <p>看診後，院方會製作病歷、開藥，同時附上相關證明影本。最後，家屬或代理人還須至醫院刷健保卡，來繳費、領藥，整個遠距醫療就算完成了。</p> <p>李偉強指出，通訊診療開放以來，臺北榮總每周約有1至2例使用案例，以慢性患者居多。另一方面，他也表示，臺北榮總自去年投入分級醫療，提供視訊看診服務給離島、偏遠地區的民眾，以及不便到醫院的患者。臺北榮總便將過去打下的基礎，運用於居家檢疫隔離的遠距醫療上。</p> <p>這次為因應疫情，衛福部擴大通訊診療對象，不過，不同縣市醫院對於提供遠距診療的作法也不盡相同，有些縣市則提供統一的視訊App，而有些縣市的醫院則直接使用民眾手機上App的視訊功能，例如Line視訊來進行診療。</p> <p>儘管這兩次函釋是為了因應武漢肺炎疫情而放寬適用對象，不過，目前，衛福部也沒有明確訂定出擴大適用的終止期限，這也意味著，遠距診療將成為4千多家指定醫院，越來越熟悉的例行診療模式之一，無形中也擴大了遠距診療的實施經驗，讓各地更多臺灣醫院和醫生，更熟悉這個新模式。日後若要主管機關有意放寬成常態作法，醫院也能更順利的銜接。文⊙王若樸</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 20px; top: 1465.73px; width: 681px; height: 15.5556px;"> </div> <div aria-describedby="bubble-2" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: -318px; top: 1260px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-2"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowdown" style="left: 340.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/5/28 18:41作者王若樸https://www.ithome.com.tw/news/137910
蘋果剛推出iOS 13.5不到3天，Unc0ver發布越獄程式，且能支援最新推出的iPhone SE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客與蘋果iOS之間的越獄（Jailbreak）攻防，越演越烈，常常在蘋果推出新版iOS之後，越獄工具就會面臨失效的情況。但就在5月21日蘋果推出iOS 13.5的時候，越獄程式開發團隊Unc0ver就<a href="https://twitter.com/unc0verTeam/status/1263260302713524225">預告</a>，他們的新版工具即將推出。而該團隊也在24日，正式推出5.0.0版Unc0ver，宣稱能支援執行iOS 11以上版本的多數蘋果行動裝置，包含了iPhone 11，以及剛於本月初推出的第2代iPhone SE。</p> <p>何謂越獄？為了能解除蘋果在iOS上的限制，有些人會設法破解以取得該系統的最高權限，進而修改系統的設定，或是安裝蘋果尚未核可（無法從App Store取得）的應用程式。這種越獄工具得到系統最高權限，多半是經由尚未被發現系統的漏洞，一旦蘋果修補相關漏洞，使用者更新iOS就會導致越獄失效。通常使用越獄工具的iPhone用戶，往往也必須暫緩升級iOS系統，才能維持原本越獄的效果。而這次Unc0ver發布的新版越獄程式，緊跟iOS 13.5發表的腳步，在短短的3天內就推出，而且還廣泛支援市面上的大部分iPhone。</p> <p>這種能夠公開取得，且適用於大部分蘋果行動裝置的越獄工具，雖然為使用者帶來高度自訂的彈性，但是從另一方面來說，由於安裝的軟體無需經過App Store，裝置也曝露在應用程式安全缺乏把關的風險，使用者如果透過已經越獄的裝置存取企業內部系統，很有可能成為駭客發動攻擊的管道，造成企業防護上的隱憂。</p> <h2><strong>不只能廣泛應用於多個版本iOS作業系統，也支援最新的裝置</strong></h2> <p>Unc0ver宣稱，這次推出的工具支援的iOS版本，從11.0版到最新的13.5版，但不包含12.3至12.3.2版，以及12.4.2到12.4.5版。他們也在網站上列出實際測試過能成功越獄的執行環境，從裝置的型號來看，囊括大部分蘋果正在銷售的iPhone和iPad機種，除了前述提及的iPhone 11和第2代iPhone SE，也有第7代iPad與第5代iPad Mini，而這兩款也都是去年9月發表的當代產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unc0ver-5_0_0-tested.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc0ver-5_0_0-tested.png" style="width: 500px;" /></a></p> <blockquote><p>為了取信用戶，Unc0ver也列出他們已經驗證過的裝置，以及這些裝置執行的作業系統版本等資訊。</p> </blockquote> <p>這次越獄工具為何能夠廣泛支援上述的iOS作業系統？Unc0ver在推特預告時透露了原因，他們利用了由Pwn20wnd發現的未公開漏洞來達成，這個漏洞普遍存在於大部分版本的iOS作業系統，而且是出現在核心層級的漏洞。雖然這個漏洞蘋果日後有可能會加以修補，但Pwn20wnd似乎不太在乎這樣的後續發展，並表示蘋果最快也要2到3周才會推出新版iOS來防堵，就算有了修補程式，用戶還是能在2周內降回舊版iOS，而且只要維持不升級iOS，越獄程式還是能夠繼續運作。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">We are going to release <a href="https://twitter.com/hashtag/unc0ver?src=hash&ref_src=twsrc%5Etfw">#unc0ver</a> 5.0.0 with support for every signed iOS version on every device using a 0day kernel vulnerability from <a href="https://twitter.com/Pwn20wnd?ref_src=twsrc%5Etfw">@Pwn20wnd</a> in sponsorship with <a href="https://t.co/l4SDOTDUla">https://t.co/l4SDOTDUla</a> very soon. Update your devices to 13.5 and follow our progress on <a href="https://t.co/cNIUANaJr2">https://t.co/cNIUANaJr2</a>.</p> <p>— unc0ver Team (@unc0verTeam) <a href="https://twitter.com/unc0verTeam/status/1263260302713524225?ref_src=twsrc%5Etfw">May 21, 2020</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>至於蘋果會不會在下一個大改版iOS 14來防堵相關漏洞？Pwn20wnd則向<a href="https://www.wired.com/story/apple-ios-unc0ver-jailbreak/">Wired</a>等媒體表示，就算他們真的修補了這個漏洞，他還是會找到另一個漏洞來越獄。而這也的確不是Pwn20wnd第一次快速找到能用來越獄的未知漏洞，例如，在去年8月，他公開發布針對iOS 12.4的<a href="https://www.ithome.com.tw/news/132530">越獄程式</a>，就是利用已於iOS 12.3修補，卻再次出現的漏洞CVE-2019-8605，而iOS 12.4當時才推出一個多月。</p> </div></div></div>
2020/5/28 12:06作者周峻佑https://www.ithome.com.tw/news/137889
【科技抗疫實例：Gemini Data】靠知識圖譜工具將疫調數據視覺化，更快找出確診者關聯性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於國外疫情劇烈，臺灣武漢肺炎確診數雖超過440例，但因臺灣疫情控制得當，沒有在國內造成大規模感染。阻斷疫情的關鍵之一是臺灣有一套完整的傳染病監測機制，在平時監測風險，遇變時則成為採取行動的利器。所以，這次武漢肺炎爆發之初，臺灣就能迅速反應，1月成立了中央流行疫情指揮中心，在資訊科技的協助下，根據數據進行防疫決策。</p> <p>這套監測機制包括連接從基層診所到醫學中心的法定傳染病通報系統，自動傳送及登打傳染病個案資料；在急診方面，則有串連全國約180家醫院急診資料的「即時疫情監視及預警系統」（Real-time Outbreak and Disease Surveillance System，RODS），不需要人工填表，就能將全國急診量95%以上的急診診斷資料傳送到疾管署，自動分析、產生報表，早一步監測疾病或症候群的異常情形；在門診及住院部份，對整合了健保署的健保資料。</p> <p>上述的監測機制主要由疾管署疫情中心負責，而當武漢肺炎出現確診案例，相關人員展開疫情調查，蒐集確診者接觸史、清查其活動紀錄、釐清感染來源、接觸者，對疑似感染者實施篩檢、要求居家隔離等等，是及早防堵疫情擴散的有效做法。</p> <p>目前臺灣疫調時，一旦有確診案例出現，第一時間由醫院通報，再由疫調人員以制式的表格及問卷訪談，取得確診案例過去旅遊史、接觸史等資訊，交給疾管署，再輸入到資料庫，經過BI數據分析後，找出確診者間的關聯性，設法釐清確診者的關聯性，和各縣市衛生局或相關單位進行溝通，並以人工方式繪製圖表，讓中央流行疫情指揮中心對外公布。</p> <p><span style="font-size:28px;"><strong>用圖譜化數據分析協助探索確診者的關聯性</strong></span></p> <p>然而，數據分析需要有經驗的人員找出數據背後的關聯性，隨著確診案例增加，要從大量疫調數據中挖掘數據中隱而不顯的關係，已逐漸成為防疫人員的重擔，後來，有一款知識圖譜視覺化工具Gemini explore獲得疾管署疫情中心的青睞，4月初即以公益性質來提供中心分析人員試用。</p> <p>這款工具是精誠資訊投資的新創團隊Gemini Data在去年推出的產品，原本主要用於資安及IT維運管理上。在今年初爆發武漢肺炎，臺灣確診案例不斷增加，Gemini Data自行整合了來自媒體報導、指揮中心公開的確診者資訊，改以知識圖譜（Knowledge Graph）的方式呈現，藉由探索資料的不同面向，試著找出確診者的關聯性，並且追蹤和相關接觸者的關係。</p> <p>後來，精誠將一些確診者關連性分析畫面截圖，提供給疫情中心後頗受好評，4月初，Gemini Data到疾管署安裝這套系統，5月進一步根據意見更新，並參加了臺美防疫松（cohack），以視覺化呈現確診者、接觸者關聯性，最後入選為優勝作品之一。</p> <p>Gemini Data共同創辦人林宗瀛表示，過去放在資料庫的資料，多半只進行BI分析，產出統計圖表，不易判斷數據間的關聯，尚需仰賴資料分析人員的經驗來比對。改以知識圖譜的方式呈現數據，能夠幫助疫調人員探索確診者背後的關聯性。</p> <p>「知識圖譜會是未來改變數據分析，相當有潛力的工具」，但技術門檻高，他說，過去多是跨國科技業者才會使用，「我們要將知識圖譜工具化，讓所有人未來都能使用」。</p> <p>當要分析某個確診個案時，利用圖譜形式，來展開疫調時所取得的該名確診者各項資訊，例如性別、居住地區、職業身分、曾在國外旅遊或留學、症狀等等，疫調人員可以根據不同的疫調資料，探索和其他確診者間的關聯性，例如找出同樣自西班牙回到臺灣，並且是留學生的確診者，將符合兩個條件的所有確診案例設定為同一個感染事件的群組，進一步調查其感染關係。</p> <p>過去，資料分析人員多用直接下資料庫查詢指令來進行關連比對，但這個作法不易發現複雜的數據關係，改透過圖譜圖像化的方式來呈現數據，讓分析者自由探索，分析人員更容易判斷、發掘數據中的關係，也更接近人類思維的方式。</p> <p>林宗瀛指出，知識圖譜介面提供了自助式操作，使用者不需要IT人員的協助，就能直接和不同的數據互動，找出其他可能的關聯性，不只是確診者的背景資料，結合接觸者資料，進一步探索不同確診者及接觸者的關聯。</p> <p>例如可以從單一的確診案例，像是從案例X的過去活動紀錄及接觸者疫調資料中，找到和另一位確診案例Y的關係，從而可能判斷出兩個確診案例間的接觸感染關係。</p> <p>儘管國內疫情目前已趨緩，這套工具未來也能套用在監測其他傳染疾病疫情的發展追蹤，而一般企業在數位轉型的過程中，可運用知識圖譜數據分析工具，例如電商業者強化對客戶關係的經營。目前Gemini Explore主要功能是圖譜資訊視覺化，林宗瀛更透露，明年會進一步加強AI判斷能力。</p> </div></div></div>
2020/5/28 18:10作者蘇文彬https://www.ithome.com.tw/news/137906
OpenSSH將終止支援SHA-1加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多人愛用的遠端連線工具OpenSSH昨（27）日<a href="https://www.openssh.com/releasenotes.html" target="_blank">宣佈釋出</a>OpenSSH 8.3/8.3p1，並預告下一版將終止對SHA-1演算法的支援。</p> <p>OpenSSH維護小組指出，現在只要不到美金5萬美元就能執行「構造前綴碰撞攻擊」（chosen-prefix collisions）來破解SHA-1演算法。為此OpenSSH小組決定在下個版本中，預設關閉SSH-RSA公鑰簽章演算法。</p> <p>2017年Google和荷蘭學術單位合作，以「SHAttered」手法成功<a href="https://www.ithome.com.tw/news/112347" target="_blank">破解</a>SHA-1雜湊函數。而破解所需的硬體成本也日益降低，今年一個新加坡大學團隊<a href="https://eprint.iacr.org/2020/014.pdf" target="_blank">估計</a>只要5萬美元即可做到。</p> <p>雖然已經被證實不安全，但仍然有許多系統還在用SHA-1演算法，使之成為原始版SSH RFC僅存指定的公鑰簽章演算法。OpenSSH使用SSH-RSA模式產生SHA-1金鑰，意謂著可能遭到破解。</p> <p>更好的替代方案包括RFC8332 RSA SHA-2簽章演算法、ssh-ed25519簽章演算法、 RFC5656 ECDSA演算法。其中RSA SHA-2使用和SSH-RSA相同型態的金鑰，但用的是更安全的SHA-2演算法，也已在Open SH 7.2預設支援。至於ssh-ed25519、 RFC5656 ECDSA演算法，OpenSSH早在6.5和5.7版即已支援。</p> <p>此外OpenSSH也呼籲，如果伺服器然仍然還在使用SSH-RSA公鑰作為主機驗證，最好儘速升級。</p> <p>SHA-1被破解後，重要軟體包括蘋果的<a href="https://www.ithome.com.tw/news/131136" target="_blank">Mac及iOS</a>、Google Chrome、微軟的<a href="https://www.ithome.com.tw/news/128832" target="_blank">Windows</a>、<a href="https://www.ithome.com.tw/news/114106" target="_blank">IE/ Edge</a>及Mozilla Firefox近幾年已陸續要求用戶升級到SHA-2演算法。</p> </div></div></div>
2020/5/28 16:00作者林妍溱https://www.ithome.com.tw/news/137899
指揮中心發布實聯制指引，管制商家防疫個資用途，要求疫調專用、專人保管還要28天刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">臺灣武漢肺炎疫情趨緩，中央流行疫情指揮中心在本月8日表示，各地政府可以視疫情狀況，逐步解禁室內外集會人數限制，只要能確保參與者保持社交距離、落實個人衛生防護，同時建立起集會活動實名制等條件，就不再受室內100人、室外500人的限制。不過，為了保障個資不被濫用，指揮中心今天進一步發布「武漢肺炎實聯制措施指引」，要求各營業場所、集會活動為了防疫所蒐集的民眾個資，不可用於疫調之外的其他目的，蒐集過程也必須指定專人辦理並善盡保護責任，最多存放28天就要刪除銷毀。</p> <p dir="ltr">指揮中心資訊組組長簡宏偉說明：「實聯制主要是讓非公務機關，比如商家等營業場所，能依照這個指引恢復正常作業。」透過實名制蒐集活動參與者的個資，能在未來有疫調需求時，立即聯繫曾共同出入該場所的民眾，快速掌握可能染疫的對象。不過，為了避免民眾個資被隨意蒐集濫用，指引中也詳細規定個資使用辦法。</p> <p dir="ltr">指引中提到，各政府、非政府機關（以下統稱機關）因防疫而蒐集民眾個資時，需要明確告知當事人7項資訊，包括蒐集機關、蒐集目的、個資項目、利用期間、利用對象及方式、當事人依個資法可請求的權益、不同意提供時可能造成的影響，來增加防疫措施的透明性。</p> <p dir="ltr">資料蒐集方式雖不限紙本或電子，但都必須指定專人妥善維護，防止個資被竊取、竄改、毀損、滅失或洩漏，而且，若是以紙本方式蒐集，應注意先填寫者的個資是否會被後填寫者閱覽，並以遮蔽或其他方式來避免；若是以電子方式蒐集，如資訊系統、App等，應進行資訊安全風險評估，確保資料蒐集過程中的資安防護措施，來避免資料外洩。</p> <p dir="ltr">指引也規定，機關在蒐集資料後，最多只能保存28天就要主動刪除銷毀，並保留刪除或銷毀的紀錄，提供主管機關後續監督稽查。簡宏偉說，目前相關單位還在擬定稽核方式，未來也會依照個資法的規範來進行裁罰。由此可知，除了生活營業場所之外，企業在辦理相關大型集會活動時，也須遵守實聯制的規範來妥善保存個資，以免受罰。</p> <p dir="ltr">指揮中心表示，若6月7日後國內仍維持本土病例零確診或無社區感染，將擴大鬆綁防疫規範，民眾只要配合實聯制，及落實個人防護措施（勤洗手、無法維持社交距離時佩戴口罩），在從事各項日常及休閒活動時，將不會再受到人數規範限制。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/12043554714991.jpg" style="width: 600px;" /></p> </div></div></div>
2020/5/28 16:14作者翁芊儒https://www.ithome.com.tw/news/137896
美國亞利桑那州控告Google擅自追蹤Android用戶位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國亞利桑那州檢察長Mark Brnovich在5月27日對Google<a href="https://threadreaderapp.com/thread/1265770310508466183.html" target="_blank">提出訴訟</a>，指控Google透過欺詐與不正當的行為來獲取用戶的位置資料，再以這些資料來換取廣告營收，認為Google違反了該州的消費者詐欺法。</p> <p>亞利桑那州之所以對Google展開調查，源自於美聯社在2018年的<a href="https://apnews.com/828aefab64d4411bac257a07c1af0ecb/AP-Exclusive:-Google-tracks-your-movements,-like-it-or-not" target="_blank">調查報導</a>，指出Google Maps要求使用者賦予該程式存取位置資料的權限，以提供導航功能，同時紀錄使用者的行經路線，另也宣稱使用者可隨時關閉位置歷史紀錄，屆時Google就不會再存放使用者的位置資源，然而，美聯社卻發現，就算使用者關閉了位置歷史紀錄，Google Maps還是會自動存放具備時間戳的位置資料。</p> <p>Brnovich表示，儘管Google讓使用者相信他們可以退出位置追蹤，但其實Google依然透過其它方式來侵犯使用者的隱私，幾乎無法阻止Google追蹤使用者的一舉一動，而這便違反了亞利桑那州的消費者詐欺法，就算是最創新的公司，也應該在法理內行事。</p> <p>在Google於2019年所創下的1,610億美元營收中，廣告營收就占了1,350億美元，該州在訴狀中指出，Google的廣告營收絕大多數都是來自於使用者資料，包括位置資訊，而且經常未經使用者同意。調查還發現Google使用欺騙與不公平的手法，以盡可能地蒐集使用者資料，使用者也難以了解資料的用途，更遑論退出。</p> <p>Brnovich所提出的訴狀多達50頁，其中不乏Google前員工的證詞與接近100項證物，包括Google的內部文件。</p> <p>其實除了亞利桑那州之外，Google在美國其它州也面臨了各種法律問題，像是新墨西哥州在今年2月控告Google侵犯兒童隱私，德州則正在調查Google的廣告業務，是否涉及壟斷。</p> </div></div></div>
2020/5/28 16:35作者陳曉莉https://www.ithome.com.tw/news/137902
德國聯邦資訊安全辦公室要蘋果用戶儘快修補郵件漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國聯邦資訊安全辦公室（BSI）近日向iPhone及iPad用戶<a href="https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2020/Warnung_iOS-Mail_230420.html" target="_blank">提出警告</a>，表示iOS與iPadOS內建的郵件服務中含有兩個重大的安全漏洞，駭客只要寄送一封製造的郵件，就能讀取、變更或刪除用戶私人信件，而且已被駭客開採。不過，蘋果已於5月20日釋出的iOS 12.4.7、iOS 13.5與iPadOS 13.5，修補了這兩個漏洞。</p> <p>蘋果在5月20日釋出的iOS 13.5，除了新增暴露通知API（Exposure Notification API），並改善戴口罩的人臉辨識機制之外，也<a href="https://support.apple.com/zh-tw/HT211168" target="_blank">修補了</a>眾多的安全漏洞，相關漏洞同樣波及iPadOS。</p> <p>此次所修補的漏洞中，只有兩個與郵件程式有關，它們分別是CVE-2020-9819與CVE-2020-9818，皆是由美國的資安業者ZecOps所揭露。</p> <p>其實ZecOps早在今年4月，就對外揭露了<a href="https://blog.zecops.com/vulnerabilities/youve-got-0-click-mail/" target="_blank">這兩個漏洞</a>。ZecOps是在定期的iOS數位鑑識及意外調查中發現，有些可疑的事件影響iOS內建的郵件程式，並可追溯到2018年1月，進而偵測到iOS與iPadOS的郵件都含有安全漏洞，而且已被開採。</p> <p>研究人員指出，這兩個漏洞被用來執行目標式攻擊，鎖定的對象包括北美財星五百大組織的特定人士、日本一家電信業者的高階主管、德國一名知名人士、沙烏地阿拉伯及以色列的安全服務供應商、一名歐洲記者，以及一家瑞士企業的高階主管。由於駭客所使用的郵件中都包含了特定的字串，使得ZecOps相信這是某些國家級駭客，向第三方研究人員所買來的攻擊程式。</p> <p>ZecOps說，這兩個漏洞應該是自2012年9月蘋果發表iOS 6以來，就存在至今。</p> <p>根據蘋果的描述，CVE-2020-9819為一記憶體損耗問題，使得該程式在處理惡意的郵件時會導致堆積損毀，CVE-2020-9818則是個越界寫入漏洞，在處理惡意郵件時，可能造成非預期的記憶體修改或程式終止。</p> <p>ZecOps則認為，CVE-2020-9819與CVE-2020-9818，都是因為無法正確處理系統呼叫的返回值而造成的，而且它們出現在處理郵件的程序上，因此就算使用者未能下載完整的郵件，駭客依舊能完成攻擊。相關的攻擊可能會讓郵件程式變慢、非預期的關閉，還能刪除及竄改使用者的郵件。</p> <p>對於在蘋果修補前就公布了漏洞資訊，ZecOps解釋，光是這兩個漏洞並不會對iOS用戶造成傷害，駭客需要藉由其它的漏洞才能完全控制受害裝置；而且這兩個漏洞已因蘋果的iOS測試版而曝光，駭客已經得知漏洞的存取；再加上已經出現相關的攻擊行動，公開細節將可督促蘋果儘快修補。</p> </div></div></div>
2020/5/28 16:50作者陳曉莉https://www.ithome.com.tw/news/137904
不滿Twitter，川普說要強力監管社交平臺，或是直接將它們關掉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Twitter於美國總統川普（Donald Trump）的推文下方標註事實連結，並<a href="https://www.ithome.com.tw/news/137871" target="_blank">指稱</a>川普的說法缺乏根據之後，顯然惹怒了川普，使得川普再度<a href="https://twitter.com/realDonaldTrump/status/1265601611310739456" target="_blank">發文</a>，指稱將強力監管社交媒體平臺，或是將它們關閉。</p> <p>川普是在26日發文反對加州州長Gavin Newsom所簽署的郵寄投票（Mail-In Ballots）行政命令，認為郵寄投票是種詐欺行為，因為郵箱會被搶劫，也可能偽造選票，但Twitter很快就在推文下方嵌入事實查核連結，引用來自CNN及華盛頓郵報的事實查核報告，並說專家認為郵寄投票其實很少牽涉到詐欺，認為川普的宣稱是錯誤的。</p> <p>對此，川普除了抨擊Twitter干預2020年總統大選之外，還在隔天（5/27）發文指出，共和黨員認為社交媒體平臺完全堵住了保守派的聲音，他們將強力監管或關閉它們。川普<a href="https://twitter.com/realDonaldTrump/status/1265601615261827072" target="_blank">還說</a>，如同不能讓大規模的郵寄投票在美國紮根，而放任選票作弊、偽造或遭竊一樣，社交媒體也應該清理自己的行為。</p> <p>28日川普再次<a href="https://twitter.com/realDonaldTrump/status/1265819308699070464" target="_blank">發文</a>，認為大型科技企業在2020年大選之前，正盡其所能的展開審查，如果此事真的發生了，那人們將不再有（言論）自由。</p> <p>迄今Twitter並未回應川普的威脅，而目前也不確定川普會如何執行「強力監管社交平臺或將它們關閉」，雙方各有支持者，但不乏有人批評川普的行為是種濫權。</p> <p>然而，同為社交平臺的臉書並未選擇與Twitter站在一起。Fox News就此事<a href="https://www.foxnews.com/media/facebook-mark-zuckerberg-twitter-fact-checking-trump" target="_blank">專訪</a>了臉書創辦人暨執行長祖克柏（Mark Zuckerberg），祖克柏很明白的表示，就此事而言，他們與Twitter的政策不同，他堅定的認為，臉書不應成為人們在網路上所說任何話的真理仲裁者，而且私人企業、特別是平臺業者，也不應把自己放在那個位置。</p> </div></div></div>
2020/5/28 14:55作者陳曉莉https://www.ithome.com.tw/news/137895
Youtube修補自動刪除「五毛」留言問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Youtube官方解釋刪除「五毛」、「共匪」留言是平臺的執法系統（enforcement system）出問題後幾天，The Verge昨（27）日<a href="https://www.theverge.com/2020/5/27/21271611/youtube-deletes-comments-critical-china-communist-party-fixed" target="_blank">報導</a>，問題已經解決。</p> <p>本周媒體<a href="https://www.ithome.com.tw/news/137869" target="_blank">揭露</a>，Youtube上只要用戶留言中包含「五毛」、「共匪」等批評中國政府的詞彙，就會被立即自動刪除，引發Youtube言論檢肅爭議。經過測試，現在Youtube上包含「五毛」及「共匪」詞彙的留言，已沒有被刪除的情形。</p> <p>但是YouTube始終未解釋錯誤是怎麼發生的，只說不是因為平臺的管理政策發生變更的緣故。可能的原因是Youtube上親中使用者大量檢舉，造成Youtube原本用於防範偏激與色情內容的AI審查系統，將這些詞加入過濾關鍵詞清單內。</p> <p>去年10月開始就有用戶在討論區反映，任何留言包含「五毛」就會神奇地不見。五月間，中國異議人士曾錚（Jennifer Zeng）就在推特上<a href="https://twitter.com/jenniferatntd/status/1260557177711968257" target="_blank">揭露</a>，只要留言包含「共匪」二字，15秒就被自動刪除，網友連試三次都如此，她並意有所指問Youtube，是否找了個比李飛飛更厲害的AI專家。</p> <p>李飛飛是Google前副總裁暨華裔AI專家，本月被推特延攬成為獨立董事，希望能借重其技術，協助提升打擊假消息的能力，但外界擔心將使推特的政治立場轉為親中。5月間有人因質疑李飛飛的背景，而被推特取消帳號，本周稍早川普透過推特針對加州州長簽署郵寄投票行政命令一事發表意見，其推文下方<a href="https://www.ithome.com.tw/news/137871" target="_blank">被嵌入事實查核連結</a>，暗指川普說法缺乏根據，有人推測和推特的政治立場有關，因為川普在疫情及美中貿易問題上，對中國政府做出諸多批評。</p> </div></div></div>
2020/5/28 14:15作者林妍溱https://www.ithome.com.tw/news/137894
Windows 10 May Update 2020釋出給多數用戶，已出現BSOD等多項問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼4月將Windows 10 May Update 2020（2004）釋出給<a href="https://www.ithome.com.tw/news/129813" target="_blank">Insider測試</a>開發人員後，<a href="https://blogs.windows.com/windowsexperience/2020/05/27/how-to-get-the-windows-10-may-2020-update/" target="_blank">微軟於昨（27）日正式</a>針對大多數用戶，釋出這個Windows 10下一版更新，以及Windows Server 2004。不過微軟同時也提醒，該更新在某些裝置已出現藍色死亡螢幕及不相容問題，正著手研究或解決。</p> <p>維持之前版本的階段性釋出模式，Windows 10 2004初期僅開放Windows 10 1903及1909版本用戶，透過Windows Update中的「檢查更新」（Check for updates）功能，手動下載安裝。</p> <p>微軟Windows方案管理總監John Cable指出，微軟將在未來幾個星期內緩步開放部署速度，心急的使用者可能會看不到「下載與安裝」的選項，也可能因為硬體相容性問題，微軟會暫時擱置新版Windows 10的下載。</p> <p>此外，針對企業用戶，2004版的釋出也啟動18個月的服務支援生命周期。微軟建議IT管理員及早確認公司環境中的應用程式、裝置及網路基礎架構和新版本的相容性。企業用戶可經由Windows Server Update Services (WSUS)、Windows Update for Business及大量授權服務中心（Volume Licensing Service Center，VLSC）利用微軟終端組管理員（Endpoint Configuration Manager）供企業規畫部署工作。</p> <p>雖然在去年底即完成開發，期間微軟陸續釋出測試版修補問題，不過在宣布2004正式釋出的第一天，微軟已<a href="https://docs.microsoft.com/en-us/windows/release-information/status-windows-10-2004" target="_blank">公布</a>多項技術問題，包括搭載部份Realtek驅動程式的Windows 10電腦，無法連上一臺以上的藍牙裝置，新版OS和Intel GPU或Nvidia GPU舊版驅動程式不相容，使用GameInput Redistributable程式的電腦滑鼠沒有反應，以及部份啟動永遠連線（always-on always-connected）的筆電如Microsoft Surface Pro 7、Surface Laptop 3，出現無預警關機或再啟動現象。微軟表示正在調查中，也暫時中止針對這些用戶電腦安裝更新。</p> <p>較嚴重的問題還包括，某些啟用Kernel DMA Protection但關閉Windows Hypervisor Platform的Windows 10電腦，在插拔Thunderbolt擴充基座時，出現藍色死亡螢幕。另外，搭載部份Conexant 或Synaptics音訊驅動程式的裝置，會在2004版更新途中或更新後，出現藍色死亡螢幕。針對這兩個情形，微軟已找出問題，表示會在未來的更新版予以修補。</p> </div></div></div>
2020/5/28 13:25作者林妍溱https://www.ithome.com.tw/news/137893
Cloud周報第66期：Google決定將Next雲端產品發表大會改為連續2個月的線上議程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2020/05/21～2020/05/27）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Next年度大會 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫情 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google終於宣布，今年度雲端大會Next將於7月線上登場且為期9周</strong></span></p> <p>IBM、微軟等雲端巨頭，因疫情影響近日相繼改以線上的模式，完成首次的線上年度大會，而反觀Google繼3月初宣布年度雲端產品大會Next改為全線上活動，再宣布不於原定4月的時程展開該活動後，遲遲未發布進一步的消息。一直到5月20日，Google才終於正式宣布，將從7月14日起至9月8日，展開為期9周的Next線上活動。</p> <p>近日，許多科技大廠已於線上舉辦年度發表會活動，且多半採於2至3天內，一口氣發布所有新產品消息的模式，像是微軟Build大會，這與Google做法有很大的不同。Google不僅改變活動的模式，改於線上舉辦，更直接把活動改為連續多周的議程，而這看來更像是連續2個月的線上課程。Google表示，活動期間仍會舉辦主題演講，並將有逾200場的議程，圍繞各項產品服務。而長達9周的活動，每周將聚焦於不同的主題，從產業洞悉、生產力與協作、基礎設施、安全、資料分析，到資料管理與資料庫、現代化應用和雲端AI，還有商業應用平臺。<a href="https://cloud.google.com/blog/topics/google-cloud-next/announcing-google-cloud-next20-onair">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查報告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞太區 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端採用 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>調查：亞太區雲端服務支出的成長率高於歐美，但僅2成企業已將大部分應用搬上雲</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Unlocking%20the%20Potential%20of%20the%20Cloud%20in%20Asia-Pacific_Ex1_tcm-242545.png" style="width: 600px; height: 296px;" /></strong></span></p> <p>產業顧問研究機構Boston Consulting Group（BCG）日前發布了一份亞太區企業雲端採用的調查報告，該報告顯示，亞太區企業在雲端服務方面的支出，具25%的複合年均成長率，高於美國和西歐。BCG以亞太區8國，包含澳洲、印度、印尼、馬來西亞、菲律賓、新加坡、泰國和越南的企業，作為此次報告的調查對象，進行調查。現階段，亞太區企業雲端服務支出僅占5%的IT平均預算。BCG預期，至2023年，該支出對IT預算的占比將翻倍成長，達到10%。然而，目前僅2成的亞太區企業已將大部分的應用搬遷上雲，且不到25%的企業應用已具備上雲的條件。值得注意的是，企業對採用雲端服務可帶來的效益，除有52%企業關注於提高營收，還有57%企業聚焦節省成本外，有高達71%企業視加快創新和降低業務風險，為驅動他們採用雲端的主要動力。<a href=" https://www.bcg.com/publications/2020/businesses-asia-pacific-find-resilience-growth-in-the-cloud.aspx">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NoSQL資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吞吐量縮放 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟更新Azure Cosmos DB現可自動縮放預設吞吐量</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Azure%20Cosmos%20DB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 338px;" /></strong></strong></p> <p>微軟更新了自家的雲端NoSQL資料庫服務Azure Cosmos DB，新增自動縮放配置吞吐量的功能。企業可通過新功能，讓吞吐量具自動且快速擴展的能力，以滿足突發的流量峰值，並同時維護SLA。微軟表示，該功讓企業不再需要監控流量，且採用Azure Cosmos DB免費服務時仍能使用。此外，相較該功能的預覽版，正式版能以RU/s為單位，來設定自定的最大預配置吞吐量層級，而且能自動擴展現存資料庫和容器，還可供企業用Cosmos DB SDK和Azure資源管理工具的樣板，編寫程式化控制的支援設定。</p> <p>微軟還預告了幾個即將推出的功能，首先，Cosmos DB將推無伺服器功能，在屏除預配置吞吐量的概念後，該功能可滿足不穩定吞吐量工作負載的需求，成為現有的預配置吞吐量計價模型的另一種選擇。其次，微軟還將推出時間點還原（PITR）功能，可以避免意外寫入或是刪除資料所造成的傷害，還能連續備份Cosmos DB資料。<a href=" https://devblogs.microsoft.com/cosmosdb/build-2020-announcements/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 美國國防部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端合約 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>美國國防部國防創新部門將採用Google Anthos，於不同雲端環境執行網路服務</strong></span></p> <p>Google近日宣布，拿下美國國防部國防創新部門（Defense Innovation Unit，DIU）的一紙雲端合約，將為該部門建置一個雲端管理解決方案，以協助偵測、對抗及回應來自全球的網路威脅。這個解決方案將以Google多雲應用平臺Anthos為基礎，讓DIU除了可在Google雲上執行網路服務或應用外，也可同時於AWS及Azure上執行，並於Google雲控制臺集中管理。此外，Google將提供DIU即時的網路監控、存取控制，以及完整的稽核軌跡，讓該部門能遵照自身嚴格的雲端安全守則，不需調整其對速度及可靠性的要求。而網路吞吐量方面，Google表示，此解決方案虛擬防火牆和稽核設備的擴展性，最高可支援50萬名並行使用者，以及100萬個端點，可從而提高網路吞吐量。<a href=" https://cloud.google.com/press-releases/2020/0520/defense-innovation-unit">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物流 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FedEx </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>FedEx與微軟共同打造物流運輸需求的雲端供應鏈分析方案</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_FedEx%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_FedEx.jpg" style="width: 600px; height: 399px;" /></strong></strong></p> <p>FedEx與微軟近日宣布一項多年合作計畫，將推出以Azure、Dynamic 365為基礎的供應鏈管理分析方案，並公布第一項合作成果。這項合作結合了FedEx的全球數位及物流網路及微軟Intelligent Cloud，來提供雙方客戶分析及控管全球貨物的物流情況。雙方第一個合作成果是FedEx Surround，這個方案可讓企業運用FedEx物流網路上的資料，進行近乎即時的出貨追蹤分析，且FedEx Surround可提供小至郵遞區號等級的近乎即時查詢，以掌握貨物運送的進度，來更精準的管理物流和庫存。微軟表示，這種近即時的資料分析適合具高度時間敏感性的企業，像是需關乎病患性命之醫療用品的醫院，或是擔心停工而需要快速送達某元件的製造業工廠。</p> <p>此外FedEx Surround還可利用FedEx的專屬掃瞄及物聯網技術收集多個資料點，由Azure AI、機器學習和分析服務加以分析，不僅能提供貨況追蹤資訊，還能提供全球商務環境條件相關資訊，像是惡劣氣候、天災、器械作業延遲、法規認證問題或是地址錯誤等，方便企業及早行動或防範，避免物流作業中斷。<a href=" https://newsroom.fedex.com/newsroom/fedex-surround/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里巴巴 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>雲端需求受疫情影響提升，阿里雲上一季成長近6成</strong></span></strong></p> <p>阿里巴巴日前公布2020財年第四季的財報，時間從今年1月截至3月，受疫情影響，線上零售銷售和雲端需求大漲，使該集團整體營收達1,143億人民幣，優於預期。相較去年同期935億人民幣，阿里巴巴本季營收雖成長22%，但低於上一季38%的成長幅度。雲端業務方面，本季營收則為122億人民幣，相較去年同期增長58%，且即使該業務僅占總營收約1成，卻是其第一次突破單季營收占比1成的關卡，而該業務的收入主要來自公有雲與混合雲業務。根據Gartner最新的調查，阿里雲為亞太區IaaS市場採用率排名第一。現階段，零售依舊是該集團的主要營收來源，達939億人民幣，占總體營收逾8成。阿里巴巴預期，2021財年總營收將突破6,500億人民幣。<a href=" https://www.alizila.com/alibaba-group-march-2020-quarter-earnings/">（詳全文）</a></p> <p><strong>圖片來源／Google雲端、Boston Consulting Group、微軟、FedEx </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. Nvidia公布最新財報，資料中心業務營收首度突破10億美元，反映雲端用戶對機器學習的高度需求不受疫情影響</strong><a href=" https://s22.q4cdn.com/364334381/files/doc_financials/quarterly_reports/2021/Q121/Q1FY21-CFO-Commentary.pdf">（詳全文）</a></p> <p><strong>2. VMware Cloud on Dell EMC近日釋發布第二代，可採用42RU的R2機架，提高一倍儲存和網路功能</strong><a href=" https://blogs.vmware.com/vsphere/2020/05/introducing-2nd-gen-vmc-on-dell.html">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年5月</strong></p> </div></div></div>
2020/5/28 12:07作者黃郁芸https://www.ithome.com.tw/news/137890
全集團O2O數據大整合，信義房屋打通資訊流加速轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個人隨著工作、結婚生子，到退休養老，邁入不同的人生階段，一生中至少有一到兩次的購屋或換屋需求，在傳統觀念裡，買房被視為人生大事之一，加上房價居高不下，在這個網路資訊時代，不少人可能先在網路上做功課，經過長時間蒐集資訊，再和屋主、房仲業者接洽，一來一往之下，一般消費者的房屋交易決策可能相當長。</p> <p>儘管房屋交易講究人和人的專業服務，在1987年就成立的信義房屋，很早便開始推動資訊化，以協助房屋買賣交易，他們在1989年投資2千萬元購買IBM AS400，全省分店採用PC，並以專線連接，同時也積極導入新科技，例如線上看屋、3D、VR等等。</p> <p>然而，隨著市場快速變化發展，信義房屋也和其他的企業一樣，面臨轉型的需求，因此他們在2018年成立了數位智能中心，統整資訊系統開發部、數位流程發展部、數據應用發展部、資服資安管理部，負責資訊技術、大數據及AI、流程整合開發、資安規畫等工作。這個團隊的帶領者正是在1989年就加入信義房屋資訊團隊，後來轉調至仲介業務歷練的信義房屋數位智能中心副總經理陳麗心。</p> <p>儘管面對網路仲介服務的衝擊，陳麗心指出信義仍堅持由人員提供專業服務的信念，強化人員的資訊工具應用，線上到線下O2O（Online To Offline）成為數位智能中心重要工作之一。</p> <p>「一個人買賣房屋到最後成交，可能先在網站上查詢資訊，再和線下服務人員接觸，一來一往可能耗費3個月到半年時間，因此如何整合線上線下服務，是信義O2O的重點」，陳麗心說，信義房屋要透過O2O改造房仲人員的服務樣貌、客戶體驗，來打破流程，將所有服務斷點都串接起來。</p> <p><strong><span style="font-size:28px;">O2O策略先整合線上線下數據</span></strong></p> <p>不僅有房仲業務，集團底下包括多項和不動產相關的服務，例如房屋代銷、不動產移轉、顧問、估價等服務，還有建築融資開發等其他關係事業，這是信義房屋發展O2O首先碰到的挑戰。</p> <p>陳麗心坦言，集團過去在數據整合方面較弱，客戶資料串接還不夠好，關係企業各自的資料庫未有效整合，客戶的會員ID也沒有統一。經過數位智能中心重新規畫，全集團先統一明定客戶的線上線下識別ID，並將仲介服務流程和關係企業等流程、資料庫加以理整、串接及整合，整合集團內外數據，來串連客戶的線上線下行為。</p> <p>數位智能中心結合系統開發、數位流程發展部，重新打造O2O架構，先打通線上線下的數據底層，透過程式碼或Log的方式，來了解民眾上站使用情形。此外，他們先在2017年改版客戶端App，去年改版官網，後續持續改進房仲服務人員所使用的App，以進一步優化線上與線下的資訊流整合。</p> <p>信義房屋也積極使用私有雲及公有雲，在2018年就搬上GCP，利用雲端服務的彈性調整網路資源及頻寬，支援客戶的線上體驗，採用K8s來自動化彈性部署及管理運算工作；還運用雲端服務的大數據分析工具，進行線上線下資料的清洗、歸納及分析，再自動串接到內部私有雲上的應用。</p> <p>陳麗心提到，由於仲介業者提供無形的服務，運用資訊工具，讓仲介服務人員展現其專業相當重要；而打通資訊流，讓A店接受委託、讓B店可以銷售，幫助買賣雙方順利完成交易。「對客戶而言，一生中買賣房子的次數可能不多，房仲業最重要的是要讓資訊透明化，讓買賣房子的人得到的資訊是平等的。」</p> <p><strong><span style="font-size:28px;">改善客戶體驗</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/350-%E4%BF%A1%E7%BE%A9%E6%88%BF%E5%B1%8B-%E5%9C%962.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>信義房屋數位智能中心副總經理陳麗心表示，「轉型關鍵要以客戶體驗為中心，如何改變商業模式、營運，IT扮演協助的角色」</strong>攝影／洪政偉</span></span></p> </td> </tr></tbody></table><p>完成O2O的數據串接架構後，陳麗心表示，過去客戶使用網站線上查詢房屋資訊，雖然加入會員，因為線上線下資料未整合，當他們到門市和房仲服務人員接洽，服務人員並不知道客戶的線上行為；現在，客戶上網站積極看房，系統演算法可以提供相關資訊及建議給服務人員，協助他們和客戶互動。</p> <p>她強調，在O2O數據建構的過程中，為保護客戶的個資隱私，信義房屋並非將客戶的行為數據提供給服務人員直接使用，而是經過業務經驗及各種演算法，歸納分析後提供服務人員在客戶經營上的方向建議。</p> <p>O2O數據整合也改善房屋仲介服務體驗。以前房仲人員多半是回到辦公室才透過電話、簡訊、書面或是Mail向屋主回報情形，屋主無法即時掌握售屋進度；而現在，房仲人員帶人看屋後，在外面就能透過App輸入資訊，或利用IM聯繫屋主，屋主登入網站或App就能快速掌握房仲人員回報的資訊，或是瀏覽同類型物件在賣數量與開價高低、網路上每週點閱量、帶看反應狀況等等。</p> <p>另外，房屋買賣過程有許多的契約書需要簽約，傳統做法是房仲人員實際拿著契約書給客戶簽名，不論是修改價格或是延長委託時間，也都需要實際簽約，現在採用數位憑證，除了依法規，第一次委託授權合約需要實際簽約外，後續修改價格或是調整委託時間，都可線上透過數位憑證快速簽核生效。</p> <p>陳麗心表示，建構了一套好的數據架構，讓信義房屋能對客戶行為分析，特別是非會員身分的使用者，根據其網路行為來用戶分群，以此提供更精準的推薦，等到客戶加入會員，再將所有資料串起來。</p> <p>信義房屋也將O2O數據整合作法應用在廣告投放上，蒐集客戶在網站的行為，了解對什麼產品比較有興趣，再利用廣告行銷，吸引這群潛在顧客。</p> <p><strong><span style="font-size:28px;">導入RPA自動化流程</span></strong></p> <p>信義房屋進行數位轉型，不只對外改善客戶體驗，也對內部營運基礎進行改造工作。</p> <p>「數位轉型關鍵是要以客戶體驗為中心，如何改變商業模式、營運，IT扮演協助企業轉型的角色，讓客戶的體驗獲得改善、營運作業更有效率，同時達成組織的願景」，陳麗心說。</p> <p>今年信義導入了RPA（Robotic Process Automation），主要在後勤單位，將機器人流程自動化應用到例行性、重覆性高的工作，除了提升工作效率，也讓人員專注在更有價值的服務上。</p> <p>例如在廣告投放，需要蒐集臉書、Yahoo等不同平臺的數據，才能知道廣告投放的效益，過去以人力蒐集不同廣告平臺的數據，這麼做耗掉大量時間人力，現在，信義房屋改以RPA，快速產生廣告效益資料及報表；同樣地，他們也將RPA運用在人資，協助蒐集外部網站或是人工填寫資料。</p> <p>雖然今年才剛導入RPA，但陳麗心對其效益相當有信心，RPA對後勤單位的工作帶來不小的助益，人事、行政、財務、教育訓練等單位，有很多例行性工作，如跨網站的資料蒐集、整理，這些可以透過RPA快速理整，不再仰賴人工處理，她相信，RPA會成為後勤單位的重要幫手。</p> <p><strong><span style="font-size:28px;">積極投入新科技</span></strong></p> <p>儘管不動產買賣是相當傳統的行業，信義房屋積極導入新科技革新客戶的體驗，例如隨著寬頻網路的普及，2002年推出線上影音環場看屋，提供24小時線上看屋體驗，隨著手機上網興起，提供線上互動看屋，讓客戶可隨時用手機看屋，其他還有3D互動看屋、結合AR擴增實境技術的iPhone看屋等等。</p> <p>陳麗心表示，科技可以提升服務人員的效率及專業，另方面，消費者也不斷進步，對科技的運用愈來愈成熟，因此信義成立數位智能中心，一方面集中人員，發揮綜效，讓數位轉型、IT的策略更集中。</p> <p>國內即將在下半年進入5G，可能加速企業轉型腳步，刺激新的服務及工具出現。陳麗心表示，5G開通後，未來更多服務都將走向雲端，不需要投資很多設備，以買賣房屋為例，5G可能帶來更身歷其境的看屋體驗。客戶體驗將隨科技進步，房仲業者也要與時俱進才行。</p> <p><strong><span style="font-size:28px;">探索房地產科技及AI可能性</span></strong></p> <p>如同金融領域的金融科技（Fintech），不動產業也有不動產／房地產科技（Proptech），運用新興科技打破傳統服務，例如和異業共同推出創新的服務。</p> <p>陳麗心表示，國外房地產科技已發展至3.0，國外房仲業者除了居家之外，也提供房地產保險、租賃、融資，有許多衍生性的服務。信義房屋也正在思考，房地產科技3.0之下，有哪些是可以發揮的方向。信義房屋正和銀行業者研究，銀行業者掌握貸款等消費金融資訊，信義則有房屋買賣資訊，雙方研究如何在保護客戶個資的前提下，在資料上互相協助及分享。</p> <p>她表示，在房屋的買賣仲介中，銀行想要獲得客戶的房貸，而提供房屋仲介服務的房仲業者則想要了解客戶的生命周期變化，雙方其實一直保有合作關係，但深度的資訊流合作較少。未來新服務合作對象不只是銀行，還需要找到合得來的其他業者，共同合作打造產業生態圈。</p> <p>至於現在炙手可熱的人工智慧，已開始落地到各產業，在信義數位智能中心內部也有一個資料團隊，但因為成立時間較晚，加上人才不易尋得，目前約只有6個人，主要負責資料的清洗、建模，預測客戶的回溫、客戶的想法。信義房屋也積極培養大數據分析及AI實力。</p> <p>陳麗心表示，重新架構集團的數據後，已開始有效的運用數據，發掘一些過去沒看到的洞察。今年目標是更好的發揮數據的價值，並和AI連接在一起。</p> <p>不過，雖然現在AI聽起來很酷，但陳麗心認為AI落地實現可能還沒那麼快，儘管外界認為AI可能取代很多行業，但以信義房屋追求將服務做到最好，了解及貼近客戶的想法，AI要取代房仲業並不容易。</p> <p>「臺灣，買賣房屋的人情味很重要，還是需要面對面，體驗人和人的溫度，畢竟房屋買賣是人生大事，實際到現場看房子，由專業人員提供服務，這部份不是AI能取代的」，但她認為從輔助的角度來看，AI是能讓服務更有效率、客戶感到貼心的好工具。</p> <p><strong style="color: rgb(51, 153, 255);">CIO小檔案</strong></p> <p><strong>陳麗心</strong></p> <p><strong>信義房屋數位智能中心副總經理</strong></p> <p>學歷：中興大學企業管理研究所EMBA</p> <p>經歷：1989年加入信義房屋，從程式開發人員做起，擔任資訊部部門主管。2006年轉調至業務部門，歷經三個業務區，2011年擔任仲介業務處副總經理並兼代總經理室專案幕僚、數位流程發展部。2018年接掌集團成立的數位智能中心。</p> <p><strong style="color: rgb(51, 153, 255);">公司檔案</strong></p> <p><strong>信義房屋</strong></p> <p>● 地址：臺北市信義區信義路五段100號</p> <p>● 成立時間：1987年</p> <p>● 主要業務：中古房屋買賣、租賃仲介、新成屋及預售屋企畫與銷售</p> <p>● 員工數：約5,000多人</p> <p>● 年營收：124.4億元（2019）</p> <p>● 董事長：薛健平</p> <p>● 總經理：劉元智</p> <p><strong style="color: rgb(51, 153, 255);">資訊部門檔案</strong></p> <p>● 資訊部門主管職稱：數位智能中心副總經理</p> <p>● 資訊部門主管姓名：陳麗心</p> <p>● 資訊部門人數：約86人</p> <p><strong style="color: rgb(51, 153, 255);">IT大事記：</strong></p> <p>● 1997年：推出房仲專業網站</p> <p>● 2002年：推出線上影音環場看屋提供24小時線上看屋服務</p> <p>● 2005年：推出網路互動看屋及手機看屋服務</p> <p>● 2010年：推出iPhone看屋App</p> <p>● 2011年：推出房仲人員使用的M化工具Top Agent</p> <p>● 2015年：推出3D互動看屋</p> <p>● 2017年：成立O2O專案、改版官網及APP</p> <p>● 2018年：成立數位智能中心</p> <p>● 2019年：發展大數據，善用虛實軌跡數據分析，強化個人化服務、深化客戶認識、提升經營效率</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-xin_yi_fang_wu_-tu_1.png" width="960" height="420" alt="" title="信義房屋數位智能中心副總經理陳麗心　（攝影／洪政偉）" /></div></div></div>
2020/5/28 09:00作者蘇文彬https://www.ithome.com.tw/people/137787
危機四伏的遠端桌面連線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-rdp-stats-all.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著RDP設備大量暴露在網際網路上，以暴力破解手法嘗試RDP使用者帳密的攻擊數量，從3月初開始暴增，全球7大國均深陷這類網路攻擊的威脅。（圖片來源／Kaspersky）</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎全球確診人數直逼5百萬，許多企業、機構都採取部分或全員在家辦公的模式，也維持一段不算短的時間，然而，想長期實現這種作法，如何確保資安將是大考驗。</p> <p>首先須讓員工能夠安全地透過網際網路連回公司，存取位於內部網路的資訊系統，以及各式資源，例如共用檔案與資料夾，而為了確保連線過程的機密性，企業需要開設VPN，並確保員工都能順利透過加密網路連線連回公司。</p> <p>企業可能也會同時搭配雲端服務型態的多種網路應用解決方案，例如：即時通訊、電子郵件、網路硬碟／檔案共享與同步、視訊會議，來因應多人協作。</p> <p>但上述方式並不一定適合每種工作情境，例如，員工存取一些公司應用系統時，需要基於辦公室個人電腦的既有環境設定才能連上，但家中電腦並未套用這些組態或缺乏系統必備的其他應用軟體，無法單靠使用者來操作相關設定；或是他們平時所儲存的檔案與資料夾，並未集中到公司設置的共用儲存區，而是放在辦公室的個人電腦當中。</p> <p>為了能在短時間解決這樣的問題，目前有不少企業開放員工使用遠端桌面軟體（Remote Desktop）。目前這類產品的選擇很多，可採用Windows內建的遠端桌面連線，當中採用的是微軟發展的遠端桌面協定（RDP），或是開放原始碼軟體，例如，VNC（Virtual Network Computing），以及衍生的TightVNC、UltraVNC，此外，還有TeamViewer、Splashtop、Netop等商用軟體軟體，以及瀏覽器外掛Chrome Remote Desktop。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4_Remote_Desktp_Access%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FireEye.png" style="width: 492px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／FireEye</span></p> <p><strong><span style="color: rgb(105, 105, 105);">若要讓在家的員工連上辦公室電腦，並維持相同作業方式，最簡單的作法，就是使用Windows內建的遠端桌面連線，或使用TeamViewer這類軟體。但在這樣直連的架構下，須注意電腦暴露在網際網路的程度，因為駭客可透過網路掃描，找到開放的網路埠，也能利用暴力破解、帳號填充等方式，強行登入。</span></strong></p> <p><strong><span style="font-size:28px;">遠端桌面連線大行其道，這類設備大量暴露，引起駭客覬覦</span></strong></p> <p>而在武漢肺炎爆發以後，VPN與遠端桌面的用量大增。根據網際網路連網設備搜尋引擎Shodan今年3月底的公告，執行VPN相關協定的伺服器從近750萬臺，在2月增加到近1千萬臺，提升幅度達到33％；而暴露在網際網路、採用遠端桌面協定的設備當中，若是使用預設3389埠的設備數量，這段期間增加41.5％，如果從RDP另一個常用的3388埠來看，這類設備數量成長36.8％。</p> <p>Shodan認為，使用RDP設備在網際網路暴露的數量成長，可以解釋為許多組織正朝向遠端辦公的模式所致，因為RDP是Windows使用者遠端管理工作站或伺服器常用的方法，不過，長期以來，都有相關的資安問題和使用風險，因此，一般而言，不該在毫無防備的狀態下，開放公開存取。</p> <p>另一家主打外部攻擊面管理應用的資安廠商Reposify，也在此時提出更驚人的數據，根據他們的偵測，3月暴露在網際網路的RDP設備數量超過470萬個，它們正面臨潛在的攻擊風險，相較於1月，增加了127％。若從這些設備的IP位址來看，Reposify表示，大部分來自雲端、虛擬或實體代管業者，使用者從這些地方連至Windows電腦。</p> <p>而這樣的現象也類似Shodan的分析結果──暴露在網際網路的RDP設備，已超過4百萬臺；從5大來源來看，有4家是雲端服務業者，1家是電信業者。</p> <p>即便如此，或許有人仍會認為，使用RDP的設備暴露在網際網路上，只是存在著受到攻擊的風險，不等於已成為攻擊目標，以及正在面臨攻擊。然而，近期，有幾家資安機構和廠商發現了一些跡象。</p> <p>例如，在4月7日，美國系統與網路安全協會（SANS Institute）發布新聞稿，他們發現攻擊者對於RDP的興趣提升了30％，而這剛好與近期RDP設備暴露在網際網路數量大增的狀況，相互呼應。</p> <p>SANS技術協會研究院大老Johannes Ullrich表示，他們觀察到攻擊者用於掃描網際網路RDP應用的IP位址數量，在3月增加了3成，平均每天有2,600到3,540個IP位址發動攻擊；此外，他們也發現攻擊者會主動購買這些RDP伺服器的帳號密碼，而一臺被滲透的RDP伺服器，之後往往又會導致整個系統完全被攻破，同時，也有可能用於攻擊或濫用位於內部網路的其他系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-1%20Shodan---Remote-Desktop-Port(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Shodan</span></p> <p><strong><span style="color: rgb(105, 105, 105);">企業大舉開放員工在家辦公，相對地，也促使特定網路服務的用量大增，根據網際網路連網設備搜尋引擎Shodan長期追蹤統計，今年第一季暴露在網際網路上的RDP設備，多達3百萬臺以上。</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-2%20Exposed%20RDPs%20Covid%20-19%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Reposify.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Reposify</span></p> <p><strong><span style="color: rgb(105, 105, 105);">資安廠商Reposify表示，暴露在網際網路的RDP設備已超過470萬臺。</span></strong></p> <p><strong><span style="font-size:28px;">RDP暴力破解攻擊大舉來襲</span></strong></p> <p>但實質的網路攻擊真的出現了嗎？根據資安廠商Kaspersky 4月底公布的觀察報告，針對RDP使用者帳號與密碼進行暴力破解的攻擊（brute-force attack），從3月開始暴增，而且，災情遍及全球。</p> <p>該公司也清楚列出中、美、義、西、德、法、俄的攻擊走勢。根據他們的觀察，在1月2日到3月9日期間，7國面臨的RDP攻擊數量，都在20萬次以下（中國低於5萬次），但到了3月10日、11日，這些國家面臨的RDP攻擊次數全部急遽陡增，美、法兩國甚至都超過80萬次，之後各國還有第二波、第三波暴增的狀況。</p> <p>何謂暴力破解攻擊？這是指攻擊者針對系統或服務的使用者登入機制，不斷嘗試各種帳號密碼，直到發現正確的組合為止，而這樣的身分比對搜尋，會基於隨機的字元、常用的字詞，或是被外洩的帳號密碼來進行。以RDP而言，一旦任何人成功找到可登入的帳密，就能和原本的合法使用者一樣，透過網路存取這臺開放RDP用途的電腦，進而胡作非為。</p> <p><span style="font-size:28px;"><strong>近幾年以來，RDP已成勒索軟體感染的主要路徑</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-1_Coveware%20Attack%2BVectors.png" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/3-2_Most%2BCommon%2BRansomware%2BAttack%2BVectors%2BQ4%2B2019%2B(1).png" style="text-align: center; width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Coveware</span></p> <p><span style="color:#696969;"><strong>令人聞之色變的勒索軟體威脅，過去我們總認為主要是透過網路釣魚郵件與軟體安全性漏洞，來進行散播與滲透，但近年來，RDP也成為這類攻擊發動的主要管道。</strong></span></p> <p>另一個證據，是透過RDP存取的個人電腦，已成為當前勒索軟體攻擊最常見的攻擊路徑。例如，在4月底，專攻勒索軟體攻擊應變與分析的業者Coveware，他們的報告就特別提到這樣的狀況，近一年多以來，RDP洩漏被勒索軟體攻擊採用的比例，都維持在50％以上，自2019年第三季起有上漲的趨勢，它也與一般人熟知的網路釣魚電子郵件、軟體安全性漏洞，並列為三大攻擊路徑。</p> <p>根據他們的調查，在黑市只需20美元，就能買到RDP帳密，以及使用RDP設備的企業網路IP位址，將這些資訊結合便宜的勒索軟體攻擊套件，就能針對開放RDP存取的個人電腦或伺服器來發動攻擊，而由於這樣的作法有利可圖、成本低，駭客很難抗拒不用。Coveware認為，除非折換現金的成功率下滑，或是促成攻擊的成本太過昂貴，否則勒索軟體與網路敲詐行為將會持續流行。</p> <p>關於RDP是否為勒索軟體攻擊的主要管道，FireEye在3月16日發表勒索軟體部署趨勢時，曾剖析這類惡意程式的各種初期感染路徑，而RDP與其他遠端存取方式，就是他們最常觀測到的攻擊路徑，其次才是夾帶惡意連結或附檔的網路釣魚，以及偷渡式下載（Drive by download）。</p> <p>位於英國倫敦的Beazley保險集團，也提出類似看法。他們在3月23日公布的2020年度資料外洩報告提到，當前用於部署勒索軟體的方法當中，不安全的RDP已經與網路釣魚郵件相提並論，而成為兩種最為常見的攻擊形式。</p> <p>該公司負責全球BBR外洩反應服務的主管Katherine Keefe表示，企業開放員工能夠居家辦公，帶來了便利，然而，使用RDP時，若無法適當地採行正確的安全措施，將使IT系統更易受到網路攻擊的影響。</p> <p>而在2019年與2020初期，BBR服務也發現，投保人系統遭洩漏的攻擊大增，正是網路攻擊IT服務代管商所致，而這些攻擊，甚至影響到一家IT服務商下游的數百個客戶，使其無法正常運作。</p> <p>基於這樣的態勢，今年上半，又有幾件與RDP有關的勒索軟體攻擊被揭露。例如，微軟在3月初發表資安分析報告，他們表示，有別於Wanacry、NotPetya這類自動散播型勒索軟體，新的人為操作型勒索軟體已然崛起，他們還舉了兩個例子，分別是駭客團體Parinacota部署勒索軟體Wadhrama的攻擊，以及多個組織使用勒索軟體Doppelpaymer發動攻擊，並且詳細解析惡意程式感染的過程，而對方發起這些行動的第一步，都是發動RDP暴力破解攻擊。</p> <p>3月底，趨勢科技揭露新的勒索軟體Nefilim，散播路徑正是暴露在網際網路上的RDP設備。到了5月初，澳洲物流業者Toll Group也證實遭到Nefilim的攻擊，但3個月前他們已面臨一波勒索軟體攻擊；同一週，位於臺灣的能源產業中油、台塑，以及半導體封測業者力成科技，也傳出遭勒索軟體攻擊，法務部調查局對此提出6大檢查項目，當中就建議企業應關閉重要主機的RDP功能，似乎也暗示RDP是攻擊管道之一。</p> <p><strong><span style="font-size:28px;">RDP安全性漏洞不勝枚舉，助長攻擊者伺機利用動機</span></strong></p> <p>不論是發起者是駭客、勒索軟體，RDP攻擊要能奏效，除了連網設備暴露在網際網路，以及懂得運用暴力破解帳密的手法，對方也能濫用已知的安全性弱點來進行滲透。事實上，RDP本身發展了20年，存在著漏洞這真的在所難免，從Windows NT 4.0 至今，微軟原本只在作業系統的伺服器版本，提供終端服務（Terminal Services，後來改名為Remote Desktop Services），提供RDP的使用，自Windows XP專業版起，也開始在個人電腦環境，提供RDP這類遠端存取桌面的應用，隨著Windows的重大改版，RDP也推出新版，雖然每個版本或多或少都有安全性漏洞被揭露，然而，從2019年5月14日公開的CVE-2019-0708起，局勢急轉直下。</p> <p>這個被評為9.8分的重大漏洞，微軟稱為Remote Desktop Services Remote Code Execution Vulnerability，更多人以BlueKeep來代稱，是由英國國家網路安全中心（NCSC）提報的，並被資安界認為是可發展成網路蠕蟲（wormable）的漏洞，就像NotPetya與WannaCry源於EternalBlue（CVE-2017-0144）。</p> <p>因為，它能讓攻擊者在不需通過身分驗證的情況下，透過RDP連上個人電腦或伺服器系統，並且傳送特製的請求──對方可在這臺設備上執行任何程式碼，隨後能來安裝應用程式、檢視、變更、刪除電腦上的資料，甚至能夠建立具有完整權限的使用者帳戶。到了5月底，McAfee、Zerodium、Kaspersky、Qihoo 360等資安廠商，也陸續針對BlueKeep漏洞濫用行為，發布概念性驗證的攻擊程式。</p> <p>同年8月，又有4個同類型漏洞被揭露，也是涉及Remote Desktop Services的遠端程式碼執行（Remote Code Execution，RCE）弱點，它們分別是CVE-2019-1181、CVE-2019-1182、CVE-2019-1222、CVE-2019-1226，資安界簡稱為DejaBlue，這些也是被評為9.8分的重大漏洞。</p> <p>到了11月，濫用BlueKeep漏洞的行為已經出現。例如，替BlueKeep這個漏洞命名的資安研究員Kevin Beaumont，在當時就揭露攻擊者試圖濫用BlueKeep漏洞的行為，因為，從10月底開始，在他構建的BlueKeep全球蜜罐誘捕網路環境中，所有的電腦陸續出現當機與重新啟動的異常狀況，這類事故的頻率也增加得很規律，同時，他也發現系統正在執行加密貨幣挖礦程式的檔案。微軟接獲這項通報後，也發表研究報告，證實有挖礦活動正在濫用BlueKeep漏洞。</p> <p>事實上，RDP這兩年來的安全性漏洞，並非只有BlueKeep和DejaBlue，還有20個，絕大多數都是高度危險的漏洞，後續仍有可能被駭客或惡意軟體所濫用。</p> <p><strong><span style="font-size:28px;">RDP是很危險，但其他遠端桌面軟體也有使用上的資安疑慮</span></strong></p> <p>從受到攻擊的熱門程度或是軟體安全性漏洞來看，無論是平時或在家辦公使用RDP，風險都相當高，然而，改用其他同類型的軟體，會比較好嗎？若就已公開的資安漏洞來考量，TeamViewer有8個，Splashtop沒有，Netop有4個，LogMeIn有4個，但VNC有121個，在2019公布的漏洞就有31個。</p> <p>從產品本身提供的安全性防護機制來看，TeamViewer、Splashtop、Netop都提供256位元AES加密，以及雙因素或多因素身分認證。至於VNC系列，當中的RealVNC預設提供128位元AES加密，但可設定成256位元AES加密，以及啟用雙因素身分認證；UltraVNC則是提供資料流修改（DSM）外掛程式，讓用戶選擇使用（先前搭配MSRC4Plugin.dsm，提供128位元RC4加密，後來則改為SecureVNCPlugin.DSM，可提供256位元AES加密）。</p> <p>若就過去發生的資安事故來評估，這些軟體的使用也讓人感到不安，其中，又以TeamViewer面臨的幾次爭議事件，最廣為人知，至今仍有許多人搞不清楚這套軟體是否能夠安全使用。</p> <p>例如，在2016年6月，TeamViewer使用者出現帳號被侵入、冒用的狀況，對方盜用受害者電腦瀏覽器儲存的線上支付帳戶登入資訊，到亞馬遜、eBay購買禮物卡，但該公司在稍早就否認遭到侵入與資安漏洞，他們表示是使用者的疏忽所致──採用與其他帳號相同的密碼而導致TeamViewer被侵入。</p> <p>到了2019年5月，德國一家新聞雜誌Der Spiegel披露，TeamViewer在2016年被駭客團體盯上而遭到攻擊，當中涉及了Winnti惡意軟體，而這樣的攻擊手法被認為與中國政府有關。</p> <p>兩個月後，德國的巴伐利亞廣播公司與北德廣播公司共同發表Winnti駭客攻擊研究報告，裡面提到多家德國企業都是駭客攻擊目標，TeamViewer也名列其中，該公司也向進行這項調查的人員表示，他們徹底更換了IT基礎架構，而且在2016年為了將駭客移出他們的網路，也花費數百萬元來處理。</p> <p>到了2018年4月，在免費軟體界赫赫有名的系統清理軟體CCleaner，遭遇供應鏈攻擊，而這也跟TeamViewer有關，因此讓許多人開始不信任這套供具。</p> <p>根據資安業者的調查，駭客是在2017年滲透到這套產品的母公司Piriform，將惡意軟體植入新版CCleaner，隨後許多使用者下載這個版本的CCleaner，而跟著受害，結果導致230萬臺個人電腦的感染，而對方最初之所以成功滲透，就是經由TeamViewer滲透到開發人員的工作站，因為他們手上有外洩的帳號密碼，所以能夠存取該名使用者TeamViewer帳號而得逞，並在電腦上安裝惡意程式，由於這臺電腦是連接在Piriform公司的網路環境，駭客隨後可橫向移動到其他電腦進行滲透或操控。</p> <p><strong><span style="font-size:28px;">注意遠端桌面的實體環境隱私</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/5_Splashtop_Remote_Setting.png" style="width: 329px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>若不想使用RDP來連接辦公室電腦，又擔心使用其他軟體會讓其他同事看到自己操作的畫面，可考慮Splashtop，當中可針對辦公室電腦實施遮蔽螢幕與鎖定鍵盤、滑鼠的保護。</strong></span></p> <p>現今企業對於遠端桌面軟體的使用，除了要注意資安層面的考量，我們最後還想提醒大家注意桌面隱私的議題。武漢肺炎的疫情已持續近半年，各家公司採取的辦公方式有好幾種，除了異地辦公之外，部分公司會採取分批上班的模式，因此會出現有些人在辦公室、有些人在家裡的狀況，若在家上班的員工是透過遠端桌面的方式連入辦公室電腦，有些軟體對於辦公室電腦螢幕，以及在家個人電腦螢幕的畫面，是以同步的方式呈現，並非以鎖定或遮蔽桌面的方式來防止他人窺伺。</p> <p>根據我們的測試，像是TeamViewer、Chrome Remote Desktop，都會有這樣的狀況，Windows遠端桌面連線／RDP反而沒有，辦公室電腦一旦以此種方式被遠端連入，就會進入鎖定桌面的狀態。</p> <p>Splashtop相關功能則很齊備，我們可在被控端電腦的代理程式當中設定「啟用空白螢幕」，當我們從遠端登入時，辦公室電腦螢幕就會進入全黑狀態，只會呈現滑鼠游標的位置與移動軌跡，；若擔心有人趁這時操作辦公室電腦的鍵盤和滑鼠亂搞，我們還可以勾選「鎖定鍵盤和滑鼠」的選項，所有的操作就會以遠端電腦為主。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%81%A0%E7%AB%AF%E6%A1%8C%E9%9D%A2%E9%80%A3%E7%B7%9A">遠端桌面連線</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E6%AD%A6%E6%BC%A2%E8%82%BA%E7%82%8E">武漢肺炎</a></div><div class="field-item odd"><a href="/tags/%E5%9C%A8%E5%AE%B6%E8%BE%A6%E5%85%AC">在家辦公</a></div><div class="field-item even"><a href="/tags/%E5%B1%85%E5%AE%B6%E8%BE%A6%E5%85%AC">居家辦公</a></div><div class="field-item odd"><a href="/tags/rdp">RDP</a></div><div class="field-item even"><a href="/tags/%E6%9A%B4%E5%8A%9B%E7%A0%B4%E8%A7%A3%E6%94%BB%E6%93%8A">暴力破解攻擊</a></div><div class="field-item odd"><a href="/tags/%E9%81%A0%E7%AB%AF%E6%A1%8C%E9%9D%A2%E5%AD%98%E5%8F%96%E5%AE%89%E5%85%A8">遠端桌面存取安全</a></div></div></div>
2020/5/28 09:00作者李宗翰https://www.ithome.com.tw/tech/137788
如何強化遠端桌面安全？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0522-forescout.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>若要掌握目前企業內部網路有哪些設備使用RDP，Forescout提供了稽核這類連線的功能，可透過儀表板快速呈現各種RDP連線的數量。（圖片來源／Forescout）</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎來得又快又急，不少企業使用遠端桌面，來因應員工在家辦公的需求，然而，如果真要大量開放員工使用RDP，應該審慎評估各種可能的資安風險，做好足夠的基本系統防護措施，以及異常存取的預防、監控與緊急應變機制，否則後患無窮。</p> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/3_Forescout-%20Remote%20force%20trend%202020-04-07_120806%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Forescout.png" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Forescout</span></p> <p><strong><span style="color: rgb(105, 105, 105);">企業的遠端工作力隨著武漢肺炎疫情的擴大，如今在辦公生產力與安全性上的考量，有了全然不同的配置，過去是重內輕外，現在則會趨向於重外輕內。</span></strong></p> <p><span style="font-size:28px;"><strong>第一步：確認需控管的範圍</strong></span></p> <p>若要強化遠端桌面存取的防護力，首先我們要先確認目前辦公室員工電腦的使用狀態，才能更為全面而精準地考量各種管制條件。一般而言，企業辦公室電腦環境，可區分成採用桌面虛擬化、虛擬桌面基礎架構（VDI）的環境，純粹採用實體個人電腦的環境，以及混合使用兩者的環境。</p> <p>因此，企業開放遠端桌面存取的架構會有那些類型？代理多個資安產品廠牌的達友科技副總經理林皇興認為，會有下列7種可能性：</p> <p>1. 員工經由VPN連入公司內部網路，然後以RDP的方式連入持續運作的辦公室電腦。</p> <p>2. 員工經由VPN連入公司內部網路，先登入公司準備的Windows電腦作為跳板，再登入辦公室電腦。</p> <p>3. 員工在辦公室電腦執行Chrome瀏覽器，並安裝外掛程式Chrome Remote Desktop，再從家中電腦登入Google帳號，連入這項服務的網址，點選先前註冊的遠端裝置。</p> <p>4. 企業本身已建置VDI，使用者可經由VDI廠商提供的閘道系統，例如，VMware Unified Access Gateway或Citrix Gateway等，連上位於桌面虛擬化環境的個人電腦桌面。</p> <p>5. 企業已建置VDI，使用者連上公司桌面虛擬化環境的個人電腦，作為跳板，再從這連上辦公室電腦。</p> <p>6. 員工陸續在辦公室電腦與家中電腦安裝TeamViewer，或是其他遠端桌面存取軟體，再從家中電腦的這些應用軟體介面連回辦公室電腦。</p> <p>7. 企業應用系統已全面使用網站架構、甚至是軟體即服務（SaaS）的雲端架構，這些系統平時就是暴露在網際網路上，員工只需透過瀏覽器即可存取這些應用，以及共享檔案，不需仰賴公司內部電腦，就能隨時隨地存取企業應用系統。</p> <p>根據林皇興的觀察，企業對於這類應用之所以感到擔心，主要有幾個部分。</p> <p>首先，企業IT環境可能會因此多出一個可被入侵的管道，資安風險變高，例如，員工連入公司網路的電腦是他自己選擇的設備，並非是企業IT人員管理、維護的設備，就會牽涉到員工自帶設備議題（BYOD）。其次，企業會擔憂資料外洩的狀況，有可能因此加劇，如何避免這類威脅，也成關注的重點。</p> <p><strong><span style="font-size:28px;">第二步：擴大端點設備管控</span></strong></p> <p>不論企業是採用何種遠端桌面解決方案，若要強化資安防護，除了注意這些系統本身是否具備足夠的安全性，最終仍須面對員工電腦的端點控管需求。</p> <p>對此，數聯資安資安管理平台發展處副處長黃繼民認為，企業必須建議端點安全防護，在管理政策上，需實施白名單存取與版本更新確認，最好也能搭配雙因素身分驗證來保護系統帳號登入。</p> <p>他建議，相關的保護措施，可區分成三大階段：事前，實施端點的安全係數檢測（Cyber Security Health Check），以及端點系統軟體與韌體版本更新確認；事中，採用端點保護平臺（EPP），或是端點偵測與反應系統（EDR）之類的防護機制，達到政策控制跟異常行為監控；事後，具有足夠的資安稽核與應變能力，企業可搭配存取記錄、行為側錄、事件通報等措施，來達成管控的要求。</p> <p>另外，企業實施控制的層面，該著重近端（企業內部）？或是遠端（不在公司的使用者）？這也是需要斟酌的。</p> <p>以VDI類型的遠端桌面解決方案而言，集中管理與安全性程度較高，但導入門檻高，黃繼民認為，應該用於核心、敏感的工作領域，若一般使用者透過VDI來進行文書作業，程序較為麻煩且整體效益欠佳。</p> <p>關於遠端桌面連線使用過程的監控與稽核，我們也洽詢幾家資安廠商的意見，希望找到適合的產品來因應需求。</p> <p>以Forescout的端點與網路控管平臺而言，企業可以掌握開放3389網路埠的RDP設備，設定政策檢查個人電腦是否存在BlueKeep這類安全性弱點，並強制進行更新修補，也能稽核公司內部網路是否存在著RDP連線的流量，甚至封鎖所有RDP流量。</p> <p>另一家由漢領國際代理的內部威脅管理系統ObserveIT，對於員工辦公室電腦的使用者行為，可進行監督，而這樣的保護機制可涵蓋到遠端桌面的存取。例如，登入時間若不符合公司規定，例如半夜、凌晨等下班時間，ObserveIT會出現提示訊息，要求使用者輸入登入理由再允許連入，也可直接拒絕登入；即便使用者順利登入，操作過程與畫面也會被系統記錄下來，日後管理者可以調閱。</p> <p>此外，如果使用者存取公司認定的機敏資料夾，進行複製、貼上的動作，將內容傳到外部，就算是透過Ctrl+C、Ctrl+V快速鍵來操作，ObserveIT也會記錄這樣的異常行為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2_ObserveIT%20Alet%20Setting2%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E6%BC%A2%E9%A0%98%E5%9C%8B%E9%9A%9B.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／漢領國際</span></p> <p><strong><span style="color: rgb(105, 105, 105);">企業開放員工透過遠端桌面存取連回辦公室的電腦之餘，也擔心會有不速之客或內部員工擅自將機密資料攜出，ObserveIT能讓企業可以更快察覺有人擅自存取敏感的檔案資料夾，就算對方用快速鍵來操作，系統也能記錄並發出警示。</span></strong></p> <p><span style="font-size:28px;"><strong>提升RDP基本防護</strong></span></p> <p>在眾多遠端桌面連線的作法上，使用RDP是最普遍但也存在高風險的方案。若企業目前無法建置上述端點監控機制，我們可參考許多資安專家的建議，做好基本防護。</p> <p>例如，SANS技術協會研究院大老Johannes Ullrich表示，企業應使用獨特、長度較長與隨機的密碼，提升RDP伺服器的安全性，如果可能，僅透過VPN提供存取。</p> <p>他提到，微軟也提供RDP Gateway，能用於實作強式身分認證政策，如果我們無法馬上結合VPN使用，最好能試著限制特定IP位址才能存取RDP服務，但以目前居家辦公的連網環境大多是基於動態IP位址，企業的系統管理者可能無法套用這種作法。</p> <p>Johannes Ullrich提出的另一種作法，是用雲端伺服器作為跳板，以白名單的方式將雲端伺服器列管，透過SSH這類安全的遠端存取協定連至這臺伺服器。</p> <p>而在4月底Kaspersky發表的RDP暴力破解攻擊報告當中，也提出多項實用的建議。這篇報告的作者資安研究員Dmitry Galov表示，針對遠端存取基礎架構的攻擊，不可能馬上停止，因此，如果要在工作時使用RDP，務必採取所有可能的保護措施，例如：至少應使用強式密碼、RDP連線僅能經由企業VPN進行、使用網路層級身分認證（Network Level Authentication，NLA）、啟用雙因素身分認證；如果不使用RDP，務必停用RDP並關閉3389埠，並且採用可靠的資安解決方案。</p> <p>長期而言，企業還能做什麼？Dmitry Galov提出下列7大建議：</p> <p><span style="color:#800000;"><strong>● 給予員工教育訓練，讓他們了解數位安全的基本常識。</strong></span></p> <p><span style="color:#800000;"><strong>● 要求員工使用不同的強式密碼來存取不同的企業資源。</strong></span></p> <p><span style="color:#800000;"><strong>● 將員工設備的軟體更新到最新版</strong></span></p> <p><span style="color:#800000;"><strong>● 在工作用途的設備上，盡可能地使用加密機制。</strong></span></p> <p><span style="color:#800000;"><strong>● 備份重要資料。</strong></span></p> <p><span style="color:#800000;"><strong>● 在員工連網設備安裝資安方案，以及可追蹤設備的系統，防止遺失。</strong></span></p> <p>不過，資安的管控與IT服務的維持如何兼顧，又是另一個值得探討的議題。對於遠端桌面的安全管控，SANS技術協會研究院大老Johannes Ullrich也提醒大家要注意這個環節。他表示，當每個人都在遠端辦公時，我們又不打算冒著停機風險，這些因應作法或許能奏效，快速解決相關安全性問題，然而，目前許多組織並不願冒著無法存取業務關鍵系統的風險，但調整遠端存取作法與防火牆規格，是有可能導致員工無法繼續存取這些系統，有時候甚至只能仰賴駐點人員才能回復存取。因此，我們若要強化相關的保護措施，必須要謹慎行事，以免得不償失。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%81%A0%E7%AB%AF%E6%A1%8C%E9%9D%A2%E9%80%A3%E7%B7%9A">遠端桌面連線</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E6%AD%A6%E6%BC%A2%E8%82%BA%E7%82%8E">武漢肺炎</a></div><div class="field-item odd"><a href="/tags/%E5%9C%A8%E5%AE%B6%E8%BE%A6%E5%85%AC">在家辦公</a></div><div class="field-item even"><a href="/tags/%E5%B1%85%E5%AE%B6%E8%BE%A6%E5%85%AC">居家辦公</a></div><div class="field-item odd"><a href="/tags/rdp">RDP</a></div><div class="field-item even"><a href="/tags/%E6%9A%B4%E5%8A%9B%E7%A0%B4%E8%A7%A3%E6%94%BB%E6%93%8A">暴力破解攻擊</a></div><div class="field-item odd"><a href="/tags/%E9%81%A0%E7%AB%AF%E6%A1%8C%E9%9D%A2%E5%AD%98%E5%8F%96%E5%AE%89%E5%85%A8">遠端桌面存取安全</a></div></div></div>
2020/5/28 09:00作者李宗翰https://www.ithome.com.tw/tech/137791
遠端桌面連線，深陷資安危機
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/974-feng_mian_p1-open-960x420.jpg?itok=TgsgUnD3" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎疫情持續蔓延，員工在家辦公成為企業新常態，為了讓員工能繼續存取企業內部網路的資訊系統，許多公司大幅啟用VPN加密連線之餘，甚至允許員工以家中電腦登入自己在辦公室的電腦，進行遠端操控，但這種作法真的適合長期、大規模開放使用嗎？是否有安全性疑慮？</p> </div></div></div>
2020/5/28 09:00作者李宗翰https://www.ithome.com.tw/article/137794
碎形與L-system
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>起始元（Initiator）與生成元（Generator）是描繪碎形的方式之一，若想以簡約語言來記錄碎形生成過程，我們可以採用L-system制定正式文法（Formal grammar），而這也便於使用機器處理這類碎形語言，令碎形的描述與繪製過程通用化。</p> <p><span style="font-size:28px;"><strong>碎形圖案</strong></span></p> <p>在繪製碎形圖案時，海龜繪圖是經常運用的方法之一，因為透過海龜的操作，開發者可以免除複雜的數學計算，只要透過程式碼操作海龜相關動作，命令它前進、轉彎等，之後就可以繪製出複雜的碎形圖案。</p> <p>儘管使用的程式語言或程式庫不同，然而，我們應該還是可以察覺到：在繪製各種碎形時，看似不同的程式進行流程，卻又似乎隱含著某種流程的相似性，因此，我們可否將這類流程抽出，令其通用化，之後只要撰寫相異部份的程式碼就可以了？</p> <p>若試著採用Koch發展出來的「起始元與生成元」，透過這種碎形描繪方式來實現程式碼，我們就可以更進一步發現：流程中隱含的相似性，來自於碎形的自相似性；在起始元與生成元方法中，起始元是初始圖案，生成元會「取代」前次迭代的某圖案單元，而不同的圖案單元則會有各自對應的生成元。</p> <p>例如，超始元定義為實心三角形，而實心三角形的生成元是將之畫分為四個小三角形，中間三角形為空，其餘三角形實心，在每次迭代時，將先前全部的實心三角形以生成元取代，就會生成自相似的謝爾賓斯基三角形（Sierpiński triangle）。</p> <p>根據起始元與生成元的取代過程，顯而易見地，生成元就是自相似性的來源；只不過方才描述超始元、生成元的方式過於冗長了，可否有正式、精確些的描述方式？</p> <p><span style="font-size:28px;"><strong>L-system規範碎形構造</strong></span></p> <p>在先前<a href="https://www.ithome.com.tw/voice/110732" target="_blank">專欄〈遞迴、碎形與數學〉</a>談過「1,1,1,2,1,2,3,1,2,4,3,1,5,2,4,6...」這串像密碼般的數字，因為數列中的子數列具有自我相似性，是一種碎形數列；談到密碼，人們常稱費式數列是大自然的密碼，因為費式數列與許多生物的成長規律有關，而Fn = Fn-1 + Fn-2是人們熟知的描述方式。</p> <p>其實，換個方式來描述費式數列，也可以視其為碎形數列。而這種方式是給個起始元A，以及兩個生成元A→AB、B→A，在首次迭代時，根據A→AB，A被生成元AB取代，接著第二次迭代時就會是ABA（因為AB取代前次的A，而A取代前次的B），三次迭代時，就會是ABAAB，接著是ABAABABA、ABAABABAABAAB……數數看每次迭代的符號數量，會發現是1,2,3,5,8,13. ……這不就是費式數列！（因為是從起始元A開始，也就只有一個1作為數列開頭）</p> <p>若將A看為成年兔子，B視為未成年兔，A→AB就是每個月成年兔會生出一隻未成年兔（而成為兩隻），B→A表示在未成年兔下個月成長為成年兔，A、A→AB、B→A就描述了費式數列介紹時常見的兔生兔範例了。想知道某個月成年兔、未成年兔各是幾隻嗎？數數看符號中A與B的數列就知道了，例如，某月的ABAABABA，代表有五隻成年、三隻未成年兔。</p> <p>A、A→AB、B→A實際上是生物學家Lindenmayer研究海藻生長時，為了以符號描述其成長模型而提出，後來這種符號描述方式正式規範為L-system（L代表Lindenmayer），而成為一套文法描述方式，L-system的定義為G={V,ω,P}，G代表文法，V是符號集合，ω是起始元，P是衍生規則，以方才的範例來說，V是{A, B}，ω是A，P是{A→AB, B→A}。</p> <p>若將零到一的線予以三等分，去掉中間的線，左右的線依同樣方式，持續區分下去，得到的會是康托爾集（Cantor set），這是個無限大的集合，然而，這個集合中又什麼都沒有。假如康托爾集用L-system來描述的話，起始元是A，衍生規則是A→ABA，B→BBB。</p> <p>如果A代表往前移動畫線，B代表往前移動不畫線，在每次迭代時畫出的圖案，會是有趣的紋身圖案（可參考維基百科〈<a href="https://en.wikipedia.org/wiki/Cantor_set" target="_blank">康托爾集</a>〉條目的圖片）。</p> <p><span style="font-size:28px;"><strong>L-system與海龜繪圖</strong></span></p> <p>方才建立碎形圖案時採用的起始元與生成元方法，與L-system其實是同種方式，而在我談康托爾集時，曾說到A、B可代表前進時畫線與否，就像在命令海龜，實際上以L-system來描述碎形圖案的建構，是常見的應用。</p> <p>例如，起始元F，衍生規則F→F-F++F-F，描述的就是科赫（Koch）曲線的生成文法，因為F代表命令海龜前進並繪線，+表示左轉，-表示右轉，若前進長度固定為1，轉動角度固定為60度，F-F++F-F就是一次科赫曲線，F-F++F-F-F-F++F-F++F-F++F-F-F-F++F-F就是二次科赫曲線，依此類推。</p> <p>在L-system結合海龜繪圖時有幾個常用符號，各對應至海龜的指令，除了方才談到的F+-之外，還有f為前進不繪線，|轉動180度，[將目前海龜狀態置入堆疊，]將海龜狀態從堆疊中取出等。</p> <p>光這幾個符號，就可以創造諸多L-system文法，建構許多碎形圖案，我在〈<a href="https://github.com/JustinSDK/dotSCAD/blob/master/examples/turtle/lsystem2_collection.scad" target="_blank">lsystem2_collection</a>〉收集一些規則，有興趣者可以參考。</p> <p>我們也可以將其擴充至3D版的海龜繪圖，最基本的就是增加&（抬頭）、^（低頭）、\（左滾）、/（右滾）等符號，我在〈<a href="https://github.com/JustinSDK/dotSCAD/blob/master/examples/turtle/lsystem3_collection.scad" target="_blank">lsystem3_collection</a>〉也收集了幾個3D版的L-system。</p> <p>從海龜的角度來看，F-F++F-F-F-F++F-F++F-F++F-F-F-F++F-F就是語言，畢竟它看懂並遵照指示繪圖，若以方才的F+-|[]符號構造L-system文法規則，生成的語言是屬於下推自動機（PushDown Automaton），因為其具有堆疊結構，也就是說，若想實現可指定規則並繪圖的L-system程式庫，首先要依規則及迭代次數生成程式碼（像是F-F++F-F），接著剖析程式碼並執行。</p> <p>回到一開始的話題「可否將這類流程抽取出來，令其通用化，之後只要撰寫相異部份的程式碼就可以了呢？」若我們只是根據相異部份程式碼來執行，那麼，就是方才談到的「剖析程式碼並執行」的階段。</p> <p><span style="font-size:28px;"><strong>試著實現L-system</strong></span></p> <p>既然L-system本身就是文法系統，文法如果越豐富，功能就會越強。常見的一種變化，是可設定每次迭代時，是否採用某規則的機率，而這常用於模擬植物生成時既有規律、又具備隨機而產生的多樣性，此時的L-system被擴充為Stochastic L-system，也就是隨機L-system。</p> <p>方才所談到的做法，都是上下文無關（Context-free）的L-system，也可以進一步增加文法至上下文相關。有興趣的話，我們可參考《The Algorithmic Beauty of Plants》第一章〈Graphical modeling using L-systems〉，當中從基本的L-system談到上下文相關的L-system，是個非常詳盡的介紹。</p> <p>整體而言，我們可以試著自行實現L-system並結合海龜繪圖指令，這並不難，而在這個過程中，能夠體會到構造簡單語言、碎形創作等樂趣。若要從簡單的範例開始，可以參考《用Python做科學計算》的〈<a href="https://wizardforcel.gitbooks.io/hyry-studio-scipy/content/37.html" target="_blank">繪製L-System的碎形圖</a>〉。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A2%8E%E5%BD%A2">碎形</a></div><div class="field-item odd"><a href="/tags/l-system">l-system</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E6%B5%B7%E9%BE%9C%E7%B9%AA%E5%9C%96">海龜繪圖</a></div></div></div>
2020/5/28 09:00作者林信良https://www.ithome.com.tw/voice/137795
5G趨勢月報第7期：5G速度有新突破！Nokia公布最新5G網路測試，每秒達4.7Gb
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>05/01~05/31精選5G趨勢新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nokia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G網速 </span></strong></span></p> <p><span style="font-size:22px;"><strong>5G網路速度再創新高！Nokia公布最新5G網速測試，每秒可達4.7 Gb </strong></span></p> <p>Nokia日前宣布創下最快5G速度的記錄，每秒可達4.7 Gb，打破了之前由另一家瑞典電信設備商愛立信保有的最高5G速度的記錄。該公司在今年2月才宣布已達到4.3 Gbps的5G下載速度，但馬上被Nokia超越，其最新測得的5G速度還比它快了0.4 Gbps。Nokia是在位於美國德州達拉斯市，以它的OTA（over-the-air）網路來進行5G速度測試，並使用該公司AirScale無線接取方案提供的EN-DC功能，也就是在4G和5G雙連接模式下，同時結合28GHz和39GHz頻段上共8個100 MHz毫米波頻譜的通道，提供800 MHz頻寬與40MHz LTE頻譜，從而達到了這個速度。Nokia宣稱，它是目前世上速度最快的5G，也是EN-DC模式下測得的5G最高記錄。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">新加坡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G工業4.0 </span></strong></span></p> <p><span style="font-size:22px;"><strong>新加坡公布最新5G實驗計畫，將聚焦三大面向借助5G技術加速智慧工廠發展</strong></span></p> <p>新加坡政府最近公布一項5G實驗計畫，將使用5G技術來展開智慧工廠試驗。負責這項計畫的新加坡資訊通信媒體發展局（IMDA），更找來了IBM、三星、新加坡電信商M1 Limited合作，使用這些公司提供的相關5G技術，來進行場域測試，未來，更將就三大主要面向進行合作，包括發展可運用於各行業的5G創新應用、展示基於工業4.0的5G工廠解決方案，以及商用5G解決方案的推出。其中IBM將在其位於新加坡的實驗室中展開試驗，而三星將提供行動和網路技術，至於M1則成為相關5G技術主要提供者。IMDA期望透過展示其在工業4.0的成果，來加速推動5G在各行業發展。尤其，最近，當地有兩家電信業者剛取得5G執照，將可打造全國5G網路。根據該政府的規畫，目標到2022年底，至少替半個新加坡提供5G網路覆蓋率，2025年底更將覆蓋全國。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 混合實境 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G </span></strong></span></p> <p><span style="font-size:22px;"><strong>從手機跨入MR頭戴設備，微軟HoloLens 2也能用5G連網了</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.jpg" style="width: 600px; height: 324px;" /></p> <p>現在不只手機內建5G，就連一些主要混合實境（Mixed Re-ality,MR）頭戴裝置也都開始增加對於5G連網的支援。在近日一場線上Build開發者大會上，微軟就宣布，要將5G連網能力一併帶進自家混合實境頭戴裝置HoloLens 2。原本HoloLens 2就有提供無線網路Wi-Fi的連接，但在加入速度更快的5G網路之後，這也意味著，未來企業能將它用於實現各種需要數據高速傳輸且低延遲的MR應用，如工廠設備檢修等。但因為HoloLens 2本身並沒有內建5G晶片，因此，未來將通過插卡形式來提供5G網路連接功能。除了宣布支援5G連網以外，微軟還公布包含臺灣在內，新一波銷售HoloLens 2裝置的國家，將於今秋開始販售。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G電信雲端市場 </span></strong></span></p> <p><span style="font-size:22px;"><strong>補足進軍電信雲端市場重要一塊拼圖，微軟再買下雲端通訊服務供應商Metaswitch </strong></span></p> <p>微軟今年上半頻頻招兵買馬，為搶進5G電信雲端市場布局，先是買下了雲端電信基礎架構業者Affirmed Networks，近日，該公司更宣布收購另一家雲端通訊服務供應商Metaswitch。這家公司主要以提供虛擬化網路軟體、語音，以及數據和通信解決方案為主，迄今在全球已有超過750家服務供應商，採用該公司的解決方案。微軟買下這家公司，正是看中了其在雲端原生通信軟體的技術實力，未來更要將它整併到Azure雲端服務產品線中，補足前進電信雲端市場的重要一塊拼圖，以便於未來在以雲端為基礎的5G網路環境下，來服務全球的電信營運商。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G調查報告 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G商用 </span></strong></span></p> <p><span style="font-size:22px;"><strong>最新全球5G量化報告出爐，沙烏地阿拉伯5G下載速度最快，南韓緊追在後</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.png" style="width: 600px; height: 338px;" /></p> <p>行動網路分析業者Opensignal近日發布兩份5G量化報告，其中一份報告揭露了全球8個已部署5G網路的國家中，其連線速度與4G及Wi-Fi網路的比較，發現多數國家5G下載速度都明顯高於4G與Wi-Fi，其中5G平均下載速度排行前三高國家，分別是沙烏地阿拉伯（291.2Mbps）、南韓（224.0Mbps）、瑞士（201.9Mbps），至於美國則吊車尾，其下載速度高於4G，但比Wi-Fi慢，只有52.3Mbps。另一份報告卻有不一樣結果，在分別對於亞洲與歐美10家電信營運商的5G網路效能進行比較，其顯示目前Verizon在美國所提供的5G下載速度最快，每秒下載量可達506.1Mb，南韓的LG U+與SK電信則分居二、三名，速度分別為238.7Mbps與220.6Mbps，最慢的則是T-Mobile，只有47Mbps的速度。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G創新 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G OI Lab </span></strong></span></p> <p><span style="font-size:22px;"><strong>英特爾、NASA和T-Mobile力拱！新成立5G創新開發實驗室，要協助企業創新5G應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1(1).jpg" style="width: 600px; height: 308px;" /></p> <p>最近，美國有間5G創新開發實驗室5G OI Lab正式啟用，初期創始成員更有來自英特爾、美國太空總署NASA和電信業者T-Mobile三家。它是一個由開發人員、新創、企業、學術單位和政府機構共同組成的一個5G創新實驗室，旨在打造全球生態系統，提供一個開放平臺、開發、測試與專家協作環境，協助開發者與新創業者創新5G應用。該實驗室也推出一項計畫，要幫助這些新創企業利用5G技術加速開發如邊緣運算、人工智慧等新興應用。首批選為該計畫的新創公司，約有17家，這項計畫將為期12週，持續到7月17日為止，並會展示相關成果。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">AT&T </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G覆蓋 </span></strong></span></p> <p><span style="font-size:22px;"><strong>搶攻中階5G手機晶片市場，高通再推出升級版的Snapdragon 768G </strong></span></p> <p>去年底，高通首款中階5G手機SoC晶片才剛發表，相隔不到半年，該公司近日再推出了升級版的Snapdragon 768G，相較於前一代765G，新款不論是在CPU或GPU的效能都提升了15%，而且CPU時脈最高可達2.8GHz，而GPU的時脈升為725 MHz。這代也是Snapdragon 700系列中，首款支援可升級GPU驅動程式的系統單晶片，能提供更逼真的遊戲畫面與沉浸式體驗。在網路部分，則同樣搭載跟上一代相同的5G數據機晶片，能提供最高1.6 Gbps的下載速度，至於上傳速度亦可達3.7 Gbps。並支援了主要地區的5G頻段，涵蓋5G毫米波、Sub-6GHz頻段，還支援5G的SA與NSA雙組網模式，以及5G漫遊與多SIM卡功能等。該款晶片，目前已有小米使用在該公司新推出的紅米5G新手機。責任編輯⊙余至浩</p> <p>圖片來源／微軟、opensignal、5G OI Lab</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多5G動態 </span></strong></span></p> <p><strong>1.計畫合作生變！？英國傳有意在2023年前汰除華為5G網路設備</strong></p> <p><strong><strong><strong>2.臺灣5G聯盟又多一家，電電公會成立5G產業創新發展聯盟以加速5G產業發展</strong></strong></strong></p> <p><strong><strong><strong>3.IBM借助紅帽混合雲多雲平臺，布局電信5G與邊緣運算新戰場 </strong></strong></strong></p> <p><strong><strong><strong>4.聯發科再推兩款增強版5G手機晶片，鎖定高、中階手機裝置市場</strong></strong></strong></p> <p><strong><strong><strong>5.澳洲計畫重新分配現有4G使用頻段，將提供包含850MHz與900MHz更多頻譜用於5G服務</strong></strong></strong></p> <p>資料來源：iThome整理，2020年5月</p> </div></div></div>
2020/5/28 10:52作者余至浩https://www.ithome.com.tw/news/137888
俄羅斯部落格LiveJournala逾2,600萬個憑證流入駭客論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Have I Been Pwned（HBIP）網站最近<a href="https://haveibeenpwned.com/PwnedWebsites#LiveJournal" target="_blank">收錄了</a>，來自俄羅斯部落格LiveJournal逾2,600萬的用戶憑證資料，HBIP收錄外洩資料的目的是為了讓使用者檢查自己的帳號是否曾外洩，不過，根據外電報導，這批資料已經在俄羅斯各大駭客論壇中免費流竄。</p> <p>LiveJournal是俄羅斯的部落格及日記平台，在論壇散布該資料庫的駭客透露，他們是在2014年入侵LiveJournal，取得了逾3,300萬筆的用戶憑證，包括使用者名稱、電子郵件位址，以及明文密碼。</p> <p>不過，取得該資料庫的HBIP創辦人Troy Hunt表示，從資料庫的內容看起來，LiveJournal被駭的時間點應該是在2017年1月，且資料筆數為2,600萬筆，已於今年5月在駭客論壇中到處被分享。</p> <p>就算多年前就流傳LiveJournal遭到駭客入侵，但LiveJournal迄今未曾出面證實此事，然而，被視為LiveJournal分支、與LiveJournal共享許多程式碼的日記網站Dreamwidth則說，該站持續遭到憑證填充攻擊，揣測是駭客藉由所取得的LiveJournal用戶資訊，企圖入侵Dreamwidth用戶帳號。</p> </div></div></div>
2020/5/27 23:00作者陳曉莉https://www.ithome.com.tw/news/137886
Google釋出最新評估文字生成強健性的自動化指標BLEURT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於現有的自動評估指標已經不敷使用，儼然成為自然語言生成技術的瓶頸，因此Google新開發了一個用來自動衡量文字產生強健性的指標<a href="https://ai.googleblog.com/2020/05/evaluating-natural-language-generation.html">BLEURT</a>，能達到接近人類註釋的準確性，其準確度比常用的自動指標BLEU還高48％。</p> <p>過去幾年自然語言生成技術的發展有長足的進步，可以使用越來越高級的方法，精確地翻譯文字、總結文章、進行對話甚至是發表圖片評論，而Google提到，目前評估自然文字產生系統有兩種方法，分別是人工評估以及自動化指標。人工評估是仰賴人工註釋者進行大規模的品質調查，註釋者會檢視系統所產生的文字，並評估其流暢性和含義的品質，這種方法雖然精確，但是卻相當費時，僅數千個範例可能就需要數十人參與評估，這將會破壞模型開發的工作流程。</p> <p>相較於人工評估，自動評估是更為理想的方法，優點是更便宜且延遲低，自動評估通常以兩個句子作為輸入，一個是候選詞，另一個則是參照詞，評估系統藉由比較兩者相似度給出一個分數，目前常用的衡量標準為BLEU；自動指標與人工評估的優缺點剛好相反，自動指標可以在模型訓練的時候進行計算，回饋強化模型訓練，但是由於其評估僅是表面相似度，因此準確度不高，也無法擷取人類語言的多樣性。</p> <p>Google認為，理想的評估方法，應該要兼具人工評估和自動指標的優點，計算過程成本應該盡量低廉，且又具有足夠靈活性應對語言多樣性。Google新發展的BLEURT，則是一個運用機器學習技術的自動指標，能夠捕捉句子間語意的相似性。</p> <p>而訓練BLEURT模型的第一個問題，便是訓練資料數量不足，即便最大的人類評估資料集WMT Metrics Task，新聞領域也只有26萬筆人工評估，而這不足以訓練出進階的自然語言生成系統評估指標，為了解決這個問題，Google採用轉移學習，應用BERT的上下文單詞表示法，這是一種用於語言理解的最新非監督式表示學習法，另外，Google還使用了先進的預訓練方法，以提高BLEURT強健性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(6).png" style="width: 400px;" /></p> <p>之所以BLEURT的效能可以這麼好，就是因為使用預訓練技術，Google解釋，在使用人類評估資料微調之前，先使用數百萬個合成句對為模型預熱，研究人員使用維基百科上的句子，應用隨機擾動技術產生訓練資料，由於不使用人工評估，而是使用指標和模型集合，因此能以低成本但極大程度擴大訓練範例的數量。</p> <p>經實驗證實，預訓練確實提高了BLEURT準確性，而Google對BLEURT進行了兩次預訓練，一次針對語言建模目標，另一次針對一系列自然語言生成評估目標，最後才使用WMT指標資料集進行微調。</p> <p>Google對BLEURT進行了基準測試，結果證實BLEURT效能良好，包括在機器翻譯和資料生成文字等任務都超越現有的方法，比應用WMT Metrics Shared Task的BLEU，人工評估分數還要高48％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Table2.png" style="width: 400px;" /></p> </div></div></div>
2020/5/27 23:20作者李建興https://www.ithome.com.tw/news/137880
三星發表新一代行動裝置安全晶片解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星（Samsung）新推出了一個行動裝置安全解決方案，其包含一款稱為<a href="https://news.samsung.com/in/samsung-elevates-data-protection-for-mobile-devices-with-new-security-chip-solution">S3FV9RR的安全元件晶片</a>，可以用來保護儲存在行動裝置上的敏感資料，S3FV9RR晶片將會搭配安全軟體，作為一個獨立的解決方案發布。</p> <p>三星提到，由於行動與非接觸應用越來越普遍，行動裝置與物聯網設備的安全性也越來越重要，才能確保個人資料以及金融交易安全，因此在其智慧裝置上安裝安全鎖，以進一步保護個人資訊。</p> <p>這個新的安全解決方案是2月第一代安全晶片解決方案S3K250AF的增強版，前身只有Common Criteria的EAL 5+認證，部署在三星的Galaxy S20智慧型手機系列中，而現在新一代的S3FV9RR通過更嚴格的安全認證EAL 6+。S3FV9RR晶片擁有兩倍安全儲存容量，新的解決方案還支援硬體的信任根（RoT）、安全啟動和裝置身份驗證，可有效提高行動裝置安全。</p> <p>該解決方案可讓服務供應商和製造商等，使用信任根在行動裝置上執行專有應用程式，而且在啟動程式初始化時，信任鏈便會啟動，依序驗證擁有核准金鑰的每個韌體，這個安全啟動程序由信任根掌控，能夠保護裝置免受可能的惡意攻擊，或是更新未授權的軟體。</p> <p>由於這是一個獨立的安全解決方案，可以獨立於裝置主處理器運作，三星表示，這也讓該解決方案更為靈活，可以將安全功能擴展至各種效能等級的行動裝置、物聯網應用程式和其他裝置上，另外，製造商也可以確保在異地生產的裝置，不會被未經授權的韌體污染。</p> <p>這個解決方案也將會滿足接下即將要發布的Android行動作業系統，其對於加密操作的硬體安全模組要求。三星預計新的解決方案，將會在2020年第三季推出。</p> </div></div></div>
2020/5/27 23:45作者李建興https://www.ithome.com.tw/news/137881
Android平臺出現重大的StrandHogg 2.0漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年底揭露Android平臺重大<a href="https://www.ithome.com.tw/news/134570" target="_blank">StrandHogg漏洞</a>的挪威資安業者Promon，在本周公布了更危險、也更難偵測的<a href="https://promon.co/strandhogg-2-0/" target="_blank">StrandHogg 2.0</a>漏洞，它能藏身於Android手機上的任何程式，竊取使用者所輸入的憑證，由於行徑與StrandHogg類似，而被命名為StrandHogg 2.0，幸好Google已在今年5月<a href="https://source.android.com/security/bulletin/2020-05-01" target="_blank">修補</a>了此一編號為CVE-2020-0096的安全漏洞。</p> <p>StrandHogg 1.0開採的是Android多工系統中的taskAffinity控制設定漏洞，只要使用者在Android裝置上安裝了開採該漏洞的惡意程式，它就能挾持裝置上各種合法程式的任務，以合法程式名義取得各種權限。至於StrandHogg 2.0開採的則是Android平臺上的權限擴張漏洞，它透過反射（reflection）來執行，允許惡意程式藏身在各種合法程式之後，以取得某些原本應賦予合法程式的權限。</p> <p>這兩個漏洞的性質很像，都允許惡意程式藏身在合法程式之後，並取得各種權限，因而可竊聽使用者的麥克風、拍照、讀取或傳送簡訊、盜走程式登入憑證、存取裝置上的照片或檔案、取得GPS與位置資訊，或者是存取通訊錄與電話紀錄。</p> <p>相異之處在於它們屬於不同的漏洞，StrandHogg 1.0會留下蹤跡，StrandHogg 2.0卻難以察覺，此外，StrandHogg 1.0漏洞一次只能用來攻擊一個程式，但StrandHogg 2.0漏洞卻只要一個按鍵，就能同時攻擊裝置上的所有程式。</p> <p>當使用者於Android裝置上安裝了開採StrandHogg 2.0的惡意程式之後，在使用者開啟合法程式時，跳出的即會是惡意程式的權限詢問視窗，使用者通常會以為這是合法程式所需要的權限而同意授權，而且之後會再導回合法程式頁面；倘若使用者開啟的是金融程式，惡意程式也可跳出登入畫面，並將使用者所輸入的憑證傳送到駭客伺服器上，繼之再導回合法程式頁面。</p> <p>其實Promon在去年12月，幾乎是同時發現StrandHogg 1.0與StrandHogg 2.0漏洞，只是當時StrandHogg 1.0已遭駭客開採，至少已出現36個開採該漏洞的惡意程式，不得不在Google尚未修補前立即揭露；反之StrandHogg 2.0則尚未被開採，讓Promon決定在Google修補後才公布，迄今Promon仍未看到有任何利用StrandHogg 2.0的惡意程式。</p> <p>StrandHogg 2.0影響Android 9及之前的作業系統，並未波及最新的Android 10，儘管如此，依然有大量的Android裝置含有該風險，因為根據Google的統計，只有8.2%的Android裝置採用Android 10。</p> </div></div></div>
2020/5/27 23:55作者陳曉莉https://www.ithome.com.tw/news/137887
Fintech周報第146期：國泰世華行動銀行App開始支援FIDO網路身分識別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="color: inherit; vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0523</span></strong></span><strong style="color: inherit; vertical-align: top; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="color: inherit; vertical-align: top; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0529</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰世華銀行 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> FIDO </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動銀行App </span></strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">國泰世華行動銀行App開始支援FIDO網路身分識別</span></strong><br /><span style="font-size: 18.6667px;">國泰世華銀行近期宣布，已在旗下行動銀行App導入FIDO（Fast Identity Online）聯盟所建立的國際標準規格，結合非對稱式的公開金鑰加密架構和生物特徵辨識技術，提供網路身分識別功能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">國泰世華銀行提到，Android 7.0以上或iOS 11.3才能支援這項FIDO服務，可以直接在App內設定升級，用戶將經由App的辨識驗證後，透過公開金鑰加密傳輸形式登入行動銀行帳戶，來降低遭駭或網路釣魚的資安風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">此外App也有多項更新，如國泰世華銀行</span>在自家行動銀行App與數位銀行KOKO App增加人臉辨識轉帳功能<span style="font-size: 18.6667px;">，就連非約定轉帳也可。目的是希望減少用戶忘記密碼、自行輸入密碼或密碼遭惡意攔截等資安風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">另外還新增了信用卡卡片管理功能，用戶可啟動卡片安全鎖，自行控管信用卡的刷卡交易功能，如果遇到卡片遺失也不再擔心遭盜刷。除了手機App新增功能，國泰世華銀行也在自家全臺超過3,700臺ATM提供無卡提款服務，部分區域也陸續推出ATM人臉提款服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/cats.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山金控 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中研院 </span></strong></span><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">玉山金控聯手中研院成立人工智慧研發中心，推動金融科技創新應用</span></strong><br /><span style="font-size: 18.6667px;">玉山金控日前宣布，已在今年第一季與中央研究院共同成立人工智慧研發中心，要發展新一代AI，來推動金融科技創新應用。這座研發中心設立在中研院，借助其空間環境與資訊運算設備，來支援研究團隊開發與交流。</span><span style="font-size: 18.6667px;">玉山挹注逾千萬研究經費，將與中研院資訊科技創新研究中心和資訊科學研究所的研究員合作，進行2年產學合作。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">中研院院長廖俊智表示，中研院資訊科技創新研究中心除了基礎研究之外，亦開發具前瞻性的技術，並發展以應用為導向的系統。雙方結合人工智慧研發的專長和數據資料的應用實務，加速推廣人工智慧發展以提升產業價值；未來2年雙方將在促進研究交流、強化資訊產業價值，以及培育資訊人才等三大面向展開合作。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">玉山金控總經理黃男州表則提到，將結合中研院在文字探勘、自然語言處理、推薦系統、深度學習等技術，將人工智慧與金融科技落實在實務運用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%85%A7%E7%89%871.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Open API </span></strong></span><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 試辦 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">臺灣開放銀行第二階段今年Q3上路，先採取試辦模式進行</span></strong><br /><span style="font-size: 18.6667px;">金管會主委黃天牧預告，臺灣開放銀行第二階段在今年Q3會上路，包括消費者保護、資安等議題都會有配套措施。銀行局局長邱淑貞更揭露，第二階段目前將先採取試辦，而試辦條件的部分，包括銀行公會的自律規範，以及財金公司所訂定資安相關的規格與規範，TSP業者都必須遵守。而銀行在選擇試辦的對象時，則會評估TSP業者的資安能力，以及對客戶資訊保護的作法，來選取合作的對象。她進一步表示，目前金管會所知道的試辦，大概分為兩個模式，一是確實由銀行跟TSP業者一起合作試辦；另一種模式，則是整個集團內各個不同公司的資訊分享。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國票金控 </span> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 樂天銀行 </span></strong></span><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">國票金控旗下國際票券減資24億上繳金控，用來投資設立樂天銀行</span></strong><br /><span style="font-size: 18.6667px;">國票金控5月25日發布重大公告，旗下子公司國際票券申請調整減資24億元上繳國票金控，已在去年10月底經金管會准予照辦，並在今年5月18日已執行完畢。國票金控表示，資金用途為充實國票金控營運資金，來投資設立純網銀，擴大業務領域。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">由日本樂天銀行持股50%、國票金控持股49%、日本樂天信用卡持股1%，所共同成立的樂天國際商業銀行，近期方才正式成立公司。樂天銀行透露，目前純網銀相關規畫與系統建置等，都按照原定時間表進行，預計今年第三季開業。開業時會達到100名員工數，目前已有7成到8成的人力。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/004_%E6%A8%82%E5%A4%A9_%E5%8F%B0%E5%8C%97%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80%E5%B1%95_20191129.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">黃天牧透露，純網銀預估Q3開業，但目前仍無人申請執照</span></strong><br /><span style="font-size: 18.6667px;">臺灣3家純網銀會在今年Q3陸續開業，不過開業前，業者得備好相關文件向金管會申請核發純網銀營業執照，通過金管會的7大純網銀監管重點之後，才能開始營業。銀行局局長邱淑貞指出，純網銀的風險有其特殊性，不管是在流動性風險、資安、作業風險管理等方面，金管會都針對這些特殊性來強化監理。像是存保公司增加很多新的即時監控設施，來監控純網銀24小時營運的流動性風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">邱淑貞更提到，依照純網銀業者取得營業執照後要提供的業務項目，業者必須在自家目前的資安環境做1個月的測試記錄，讓金管會看到要開業項目的測試記錄是可行的，且在資安可控管的範圍內來推動業務。然而，儘管3家純網銀都完成公司登記，但金管會主委黃天牧透露，目前尚未有任何一家向金管會申請核發純網銀營業執照。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Visa </span></strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">Visa調查：超過6成臺灣民眾具純網銀開戶意願，不到5成民眾對開放銀行服務感興趣</span></strong><br /><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">根據Visa研究顯示，臺灣民眾對純網銀的興趣濃厚，約有三分之二的消費者願意嘗試任一純網銀業者所提供的革新服務。Visa報告中指出，每10位臺灣消費者就有6位具有純網銀開戶的意願，其中最受消費者青睞的純網銀優勢，包括擁有更優惠的利率（58%）、更低廉的手續費（45%）、更好的服務整合（32%）以及更完善的用戶體驗。同時，消費者認為純網銀可能的不便之處，包括缺少實體分行（59%）、服務種類較現有銀行少（56%），以及缺少自有實體ATM（40%）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">然而，相較於純網銀，Visa報告中指出，臺灣僅有42%的消費者對開放銀行服務感興趣，因為多數消費者不願透過分享個人財務資訊換取這些服務，他們對開放銀行仍持保留態度。而消費者對開放銀行最感興趣的服務，分別為付款通知提示（69%）、整合銀行與信用卡帳戶（63%）以及即時且具競爭力的理財產品（59%）。在被問及願意信任哪些組織瀏覽個人財務資料時，政府機構與公用事業機構最受信任，淨信任度分別為17%和10%，銀行與電信供應商則緊隨其後。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E8%A8%8A%E5%9C%96%E8%A1%A8_%E7%B4%94%E7%B6%B2%E9%8A%80%E5%92%8C%E9%96%8B%E6%94%BE%E9%8A%80%E8%A1%8C.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融資安行動方案 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黃天牧 </span></strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">金管會將在2個月內提出一套4年期金融資安整體計畫</span></strong><br /><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">曾擔任過金管會資安長的黃天牧，在掌管金管會後，將推動金融資安行動方案，設計一個整體金融產業的資安發展政策。金管會將在近期找來相關金融機構與公會來擬定、推動該方案，預計2個月內訂定完成，要以4年為期分階段推動，同時將因應國內外資安情勢做滾動式檢討。而金融資安行動方案的工作項目，主要分為四個構面，第一個構面是有關強化資安監理；二是深化金融機構的資安治理；三則是精實金融韌性。最後一點是發揮資安聯防功能，透過F-ISAC（資安資訊分享及分析中心）來強化相關資安情資分享與合作，建立金融資安相關事件監控與應變體系。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9652.JPG" /></span></p> <p><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／國泰金控、</span><span style="font-size: 14pt;">玉山金控、</span><span style="font-size: 14pt;">Visa</span><span style="font-size: 14pt; vertical-align: top;">；攝影／洪政偉</span><span style="font-size: 18.6667px;">、李靜宜</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">1</span></strong><strong style="vertical-align: top; font-size: 18.6667px;">. </strong><strong>台新銀行與中山大學合作，開立金融服務與金融科技微學程</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2020年5月</span></strong></p> </div></div></div>
2020/5/27 19:33作者李靜宜https://www.ithome.com.tw/news/137882
新一代ComRAT木馬程式利用Gmail作為命令暨控制媒介
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>斯洛伐克資安業者ESET本周指出，<a href="https://www.welivesecurity.com/2020/05/26/agentbtz-comratv4-ten-year-journey/" target="_blank">他們發現</a>新一代ComRAT木馬程式，除了使用客製化的命令暨控制（C&C）協定之外，還利用Gmail作為傳送命令或接收所盜資料的媒介。</p> <p>第一代ComRAT木馬程式現身於2007年，它是一個遠端存取木馬，由俄羅斯駭客集團Turla Group所打造，ESET認為它目前的版本為第四代，是在2017年問世。不過，ComRAT v4採用全新的程式碼，而且遠比前幾代還要複雜，它的主要目的仍是竊取機密文件，但也具備執行額外程式的功能，且利用諸如OneDrive或4shared等雲端服務來汲取資料，並同時透過既有的C&C協定與Gmail來作為命令暨控制中心。</p> <p>雖然ComRAT v4的程式碼中並無舊版的蹤跡，但它與其它ComRAT版本採用同樣的內部代號，也使用同樣的C&C協定，其網路架構有部份與Turla的其它惡意程式共享，也是透過Turla的惡意程式來散布，使得研究人員相信它來自Turla。</p> <p>除了竊取機密文件之外， ComRAT v4還能取得Active Directory 群組或使用者資訊，或是攫取Windows配置中諸如群組原則的資訊，同時試圖閃避安全軟體，因為它會定期汲取安全紀錄檔案，以了解自己是否曾被偵測到。</p> <p>ComRAT v4依舊使用HTTP協定來作為命令及控制通道，最特別的是，該木馬程式也利用Gmail的網頁介面作為C&C媒介，它會連到Gmail檢查信箱，下載含有加密命令的特定電子郵件附加檔案，該信箱也會用來接收ComRAT v4所盜走的機密文件。另一方面，駭客則是藉由其它免費的電子郵件服務來寄送加密命令，例如GMX。</p> <p>研究人員表示，Turla至少已利用ComRAT v4來攻擊兩個外交部及某個國家的議會，且一直到今年初都還看到ComRAT v4，意味著Turla集團依然非常積極，此外，由於Gmail通常不會被列入惡意網域，代表駭客企圖藉此規避目標組織的安全控制。</p> </div></div></div>
2020/5/27 22:50作者陳曉莉https://www.ithome.com.tw/news/137885
國軍網路戰聯隊軍士官遭調查局偵辦，攻防演練與竊取將領個資成迷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，有臺灣媒體報導國軍的網路戰聯隊因執行漢光演習模擬紅軍攻擊任務，但卻被依內亂外患罪送辦的消息，目前調查局與高檢署仍在偵辦中。到底實際情況如何？成為外界議論焦點。</p> <p>對於這起事件，國內媒體的報導有完全不同的論調，例如，根據蘋果日報報導指出此案掀國軍高層內鬥風波，指出協助找出漏洞的軍士官，被調查局當成共諜偵辦的荒唐案件，導致有官兵在今年初申請退伍。而自由時報則指出，5名軍士官涉犯內亂外患罪移送高檢署，並強調有5名軍士官辯稱是「好玩」而導致。</p> <p>由於此案有多重疑點，我們也進一步蒐集各方說法，根據掌握到的消息指出，此案可能與網路戰聯隊每月執行的攻防演練有關，也與2017年的漢光演習有一點關連。</p> <p>關於調查局為何在2019年介入此案？我們取得一位與案情相關的前黃姓上尉說法，這起事件最初，是在2017年5月舉行的漢光33號演習，當時舉行的國軍攻防演練計畫中，由當時稱之為網路戰大隊（網路戰聯隊前身）負責，演練過程中，攻擊團隊發現國防部參謀本部人事次長室（聯一）的網站漏洞。</p> <p>到了2017年7月1日，受通信電子資訊參謀次長室（通次室）管轄的國防部參謀本部資通電軍指揮部（簡稱資通電軍）成立，並將網路戰聯隊設置於旗下。在此之後，網路戰聯隊依然每月定期都會舉行攻防演練的任務。黃姓上尉指出，當時他們攻擊團隊發現一個狀況，是之前演習時找出的漏洞，仍然未修補，因此攻擊團隊也利用同樣的漏洞，在演練過程取得的國防機密將領人事資料，之後則是被參謀本部人事次長室通報到調查局處理。然而，事件全貌是否真的只是如此，則有待調查單位去釐清。</p> <p>至於資通電軍的說法，目前我們尚未取得聯繫，而根據蘋果日報的報導，則提到國防部曾在2019年8月函文高檢署，有說明所執行的任務有其正當性，對此，黃姓上尉表示，他知道單位有幫忙寫陳述函發文，但具體內容他不清楚。</p> <p>對於這起事件，法務部調查局也已經給出了他們的說法。在今日（27日）下午，調查局對此事件發出澄清聲明，指出關於媒體報導國防部資通電軍人員於漢光33號演習期間，扮演紅軍駭客遭共諜罪法辦的事件，他們說明狀況並非如此。</p> <p>根據調查局國家安全維護工作站的說法，這起案件牽扯到的是國防部資通電軍指揮部多名軍士官，這些軍士官涉嫌在2017年非法取得國軍具有管理者權限的帳密清單，並多次在非演習期間，查詢及下載關於國防秘密的資訊，而這樣的行為，由於涉犯刑法第111 條第1項「刺探收集國防秘密」，以及刑法第358、361條「妨害電腦使用」等罪，因此調查局在2019年11月，將犯罪嫌疑人移送臺灣高等檢察署偵辦。</p> <p>綜合上述各方的說法來看，調查局強調這次事件是在非演習期間發生，與黃姓上尉說法相吻合，而在偵辦方面，調查局的回應則證實了這起事件以移送臺灣高等檢察署偵辦，不過在偵辦的罪名上，則與國內媒體報導有很大的出入。</p> <p>無論如何，我們認為，這起事件仍然有許多地方需要釐清，像是攻防演練的溝通狀況，以及實際可能發生但未曝光的問題。對此，我們也詢問國內資安專家的說法，專家表示，一般執行滲透測試時，都會明確與受測單位說明攻擊來源IP位址與時段，如此一來，才能與真實的攻擊事件切開。如果測試都有妥善溝通跟回報，理論上應該都能直接出示證據來說明。</p> <p>即便之前找出的漏洞沒有修補，沒有經過允許也不能任意複測，而這次事件也沒有看到上級單位資通電軍指揮部的說法，由於不清楚實際執行狀況，獲得的資訊不足，因此目前很難判斷。再加上當事者可能給人感覺高調的態度，也促使外界看待這起事件時會感到有些奇怪。</p> </div></div></div>
2020/5/27 19:35作者羅正漢https://www.ithome.com.tw/news/137883
維基媒體將制定行為準則解決社群霸凌和騷擾等行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wikimediafoundation.org/news/2020/05/22/wikimedia-foundation-board-announces-community-culture-statement/">維基媒體（Wikimedia）</a>為了建立社群包括旗下所有專案組織，包容和無騷擾的文化，讓社群可以進行有效且具建設性的討論，維基委員會授權基金會開始建立行為準則，並且採取實際行動，制裁或是限制不遵守行為準則的成員。</p> <p>維基百科傳出不少女性和LGBTQ社群成員，受到其他男性編輯和管理人員霸凌的事件，<a href="https://www.nytimes.com/2019/04/08/us/wikipedia-harassment-wikimedia-foundation.html">紐約時報</a>在去年就曾報導，當編輯者對頁面訊息的意見出現分歧時，部分女性維基百科編輯者可能受到霸凌，而被迫放棄參與文章編輯。</p> <p>而維基媒體為了建立健康的社群文化，兌現之前的承諾，現在積極採取行動，維基媒體提到，騷擾、不禮貌和有毒行為，與組織的價值背道而馳，阻礙維基媒體運動，對他們收集、分享傳播免費知識的能力產生負面影響，不只傷害維基媒體社群成員，也對維基媒體專案長期發展不利。</p> <p>考量這些問題的急迫性，基金會將和社群合作，共同改善這些問題，促進包容和尊重，減少對參與者的傷害，也同時要保護專案不受虛假訊息和不良行為的影響。具體作為包括制訂和實施通用行為準則（Universal Code of Conduct，UCoC），而這將會成為維基媒體專案中具約束力的最低標準。</p> <p>制定UCoC會有兩階段，第一階段基金會將與國際維基媒體社群一起制定，可以涵蓋面對面、虛擬事件、技術空間和所有維基媒體專案等各部分的政策，並在今年8月30日前提交給董事會批准；第二階段則會概述明確的執法途徑，並由維基媒體社群共同投入並完善規範，在2020年底送交董事會。</p> <p>不遵守這些規範以及使用條款的參與者，將會受到禁止、制裁和其他方式限制參與維基媒體的運動，另外，基金會也會和社群成員合作，創建完善案件追溯審查流程，並且透過增加對社群人員的支援和合作，在優先考量人身安全的情況下，強制執行這類法遵要求。</p> <p>維基媒體也將會投入必要的資源，協助開發需要的工具，像是資料導向決策以及評估成功的明確指標等，也會與國際專家合作或是額外聘雇人員。在UCoC兩個階段完成，並且正式投入運作之前，社群工作人員的臨時審核程序將持續有效。</p> </div></div></div>
2020/5/27 17:50作者李建興https://www.ithome.com.tw/news/137875
瑞士成為全球首個大規模採用暴露通知API的國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞士的洛桑聯邦理工學院（Swiss Federal Institute of Technology Lausanne，EPFL）在本周一（5/25）<a href="https://actu.epfl.ch/news/first-pilot-for-the-google-and-apple-based-decentr/" target="_blank">宣布</a>，該校與蘇黎士聯邦理工學院（ETH Zurich）、瑞士軍事、多所醫院及行政部門，已經開始測試基於暴露通知API（Exposure Notification API）的疫情追蹤程式SwissCovid，並打算在今年6月中開放公眾使用，可望成為全球首個大規模採用該API的國家。</p> <p>蘋果與Google是在5月20日正式釋出Exposure Notification API，這是一個去中心化的接觸追蹤技術，透過藍牙與附近的手機產生連結，並存放彼此的訊號，當出現武漢肺炎（COVID-19）確診者時，衛生機構可在病患的同意下，存取其手機上的藍牙紀錄，並透過行動程式通知曾與該病患近距離接觸的使用者。</p> <p>在釋出Exposure Notification API的當下，蘋果與Google已各自在iOS及Android平臺上支援該API，此一API只允許各國政府及衛生機關使用，以打造追蹤程式，至少已有22個國家提出申請。</p> <p>SwissCovid是由EPFL協助打造，該校表示，SwissCovid將進行數周的測試，直到瑞士議會決定修改現有的流行疾病法令，才能供大眾使用。</p> <p>SwissCovid的功能在於通知曾與確診武漢肺炎的病患近距離接觸的使用者，以讓這些使用者能夠採取進一步的防護措施，以防止疫情的蔓延。瑞士議員Alain Berset表示，SwissCovid不會用來取代其它的保護措施，但能夠控制疫情的散布。</p> <p>為了保障使用者的隱私，暴露通知系統所儲存的是隨機且短暫的藍牙信標金鑰，而當SwissCovid用戶被確診時，醫生會給他一個一次性的代碼，以讓病患能夠用它來與政府機關分享手機上的藍牙信標金鑰，這些金鑰將被上傳到由瑞士政府控管的伺服器上。</p> <p>目前SwissCovid把曾與患者在兩公尺的距離內，相處超過15分鐘的使用者，視為必須傳送通知的近距離接觸者，警告他們曾在哪一天與患者接觸，並提供防護建議。</p> <p>EPFL表示，已有許多國家，特別是在歐洲地區，已準備追隨瑞士推出自己的疫情追蹤程式。</p> </div></div></div>
2020/5/27 16:15作者陳曉莉https://www.ithome.com.tw/news/137877
臉書加密貨幣子公司Calibra更名為Novi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書旗下的加密貨幣子公司Calibra於本周<a href="https://about.fb.com/news/2020/05/welcome-to-novi/" target="_blank">宣布</a>，已將公司名稱變更為Novi Financial，打算提供全球用戶更易存取金融服務的長期目標是不變的，而且會在Libra網路上線時，儘快推出Novi數位錢包服務。</p> <p>負責Novi Financial的David Marcus說明，Novi名稱的靈感來自於novus與via兩個拉丁字，前者代表創新，後者代表方式，意味著該公司將以創新的方式提供數位貨幣服務。</p> <p>看起來Calibra只是換了個名稱，並未改變其負責加密貨幣業務的本質，依然保留Libra幣圖騰，且在Libra協會中的會員名稱，也已從Calibra變更為Novi。</p> <p>Novi Financial的首個服務，將是基於Libra區塊鏈網路的Novi數位錢包。Marcus解釋，Novi可讓轉帳變得跟傳訊一樣方便，使用者可單獨使用Novi程式，也能在Messenger或WhatsApp程式中使用Novi服務，不管是儲值、轉帳、收款或提錢都不會有任何的隱藏費用，而且帳款也會即時到達。</p> <p>此外，所有Novi用戶都能藉由政府頒發的身分證件進行認證，也將內建多種詐騙保護機制，並提供全天候的客戶支援服務。不過，Novi服務的推出時程得視Libra網路的上線日期而定，惟目前Libra並無明確的發表日。</p> </div></div></div>
2020/5/27 16:30作者陳曉莉https://www.ithome.com.tw/news/137878
eBay私自掃瞄網站訪客電腦的遠端存取傳輸埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上eBay購物的民眾要小心了，安全研究人員發現，eBay網站會對上門的訪客在未告知情況下，以程式掃瞄電腦的遠端存取傳輸埠。</p> <p>傳輸埠掃瞄是滲透測試人員和駭客常見行為，他們以工具掃瞄連向網際網路的機器，以了解機器是否有應用或服務聽取網路，通常結果是攻擊行動。但反過來說，若一個網站掃瞄訪客電腦傳輸埠，往往是為了獲知電腦上跑什麼軟體，例如遊戲平台Steam使用port 27036，因此如果這個傳輸埠開啟，大概就可推估用戶上網時同時在玩Steam。</p> <p>安全研究人員<a href="https://nullsweep.com/why-is-this-website-port-scanning-me/" target="_blank">Charles Belmer</a>利用一套市售偵測傳輸埠掃瞄行為的軟體，在eBay進行測試，結果發現有14個傳輸埠成為掃瞄目標。其中包括5900~5903 VNC (Virtual Network Computing) port、3389 Windows Remote Desktop (RDP)、5931 Ammy Admin Remote Desktop、5950 WinWNC等，許多都是作為遠端存取或遠端支援連線之用。</p> <p>研究人員發現，eBay網站上一支腳本程式嘗試對這些傳輸埠建立WebSocket連線，這可讓網站傳送資訊給用戶端瀏覽器，但不需使用者動作。他研判eBay透過這支腳本程式以了解用戶本機網路上跑些什麼程式，但這個過程只在Windows PC上發生，並不掃瞄Linux電腦。</p> <p>另一研究人員<a href="https://twitter.com/JackRhysider/status/1264415922741116929" target="_blank">Jack Rhysider</a>也發現eBay網站繞過防火牆，對其筆電進行傳輸埠掃瞄。</p> <p>eBay掃瞄用戶電腦目的可能是為了發送廣告、辨識瀏覽器指紋或詐欺偵測，但Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/ebay-port-scans-visitors-computers-for-remote-access-programs/" target="_blank">指出</a>，eBay作為一個電商網站，最有可能是想檢查用戶電腦是否被駭而在eBay上詐欺購買，而不是太邪惡的事。eBay隨後也發表了行禮如儀的聲明，表示他們視客戶隱私和安全為第一要務，致力創造安全及可信賴的網站和服務。</p> <p>但Belmer指出，不管eBay的目的為何，掃瞄傳輸埠相當危險，也可能落入歹徒之手帶來不良後果。他建議消費者安裝能封鎖掃瞄傳輸埠的外掛。此外，Tor及Opera也會預設封鎖此類掃瞄行為。</p> </div></div></div>
2020/5/27 15:35作者林妍溱https://www.ithome.com.tw/news/137876
Amazon有意買下Zoox，進軍自駕車市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>The Information<a href="https://www.theinformation.com/articles/zoox-self-driving-car-startup-valued-at-2-7-billion-is-for-sale" target="_blank">報導</a>，2014年創立的自駕車技術開發商Zoox正在求售，無獨有偶地，華爾街日報引述消息來源<a href="https://www.wsj.com/articles/amazon-in-advanced-talks-to-buy-self-driving-car-tech-company-zoox-11590538611?mod=djemalertNEWS" target="_blank">指出</a>，Amazon正在與Zoox進行併購協商，透露出Amazon有意大舉揮軍自駕車市場。</p> <p>成立6年的Zoox致力於打造自駕車技術，著眼於無人計程車市場，在2018年增資時的估價為32億美元，迄今Zoox的自駕車尚未取得上路許可。本月初則傳出Zoox已與許多汽車製造商接洽，探尋可能的交易或金援，現在看來Amazon也是潛在的買家之一。</p> <p>另一方面，Amazon早在多年前就成立了自駕車團隊，但主要是為了打造自家產品的送貨服務，也投資了許多自駕車新創，包括2016年成立的Aurora Innovation 。</p> <p>根據報導，Amazon與Zoox已進入進階協商，也許還要好幾周才能達到協議，或者也可能破局。</p> <p>Zoox並未完全否認相關報導，坦承有多方對該公司有興趣，且一直與Qatalyst Partners合作進行評估，只是拒絕揭露名單。</p> </div></div></div>
2020/5/27 13:10作者陳曉莉https://www.ithome.com.tw/news/137873
Youtube會把包含「五毛」、「共匪」詞彙的留言自動刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Youtube被The Verge<a href="https://www.theverge.com/2020/5/26/21270290/youtube-deleting-comments-censorship-chinese-communist-party-ccp" target="_blank">揭露</a>只要用戶留言中包含「五毛」、「共匪」等批評中國政府的詞彙，就會被立即自動刪除，引發言論檢肅爭議。Youtube周二表示應該是系統錯誤所致，目前已著手調查。</p> <p>至少從去年10月開始就有用戶在討論區<a href="https://support.google.com/youtube/thread/17821466?hl=en" target="_blank">反映</a>，任何留言包含「五毛」就會很神奇地消失。雖然可能是頻道擁有者刪除，但有人在自己的影片上測試也發生類似狀況，因此證明是Youtube系統所為，懷疑Youtube會自動依特定關鍵字清單來過濾反中國言論。</p> <p>報導指出，只要影片或即時串流內容的留言包含「五毛」及「共匪」字樣，大約15秒內就會被刪除。也<a href="https://twitter.com/Ninja_Logic/status/1265087326104907776" target="_blank">有人說</a>只要即時串流的即時留言或對話中包含這些關鍵字，Youtube也會刪掉整個對話重播。但如果是拼音文字或英文「50-cent」或「communist bandit」就不受影響。</p> <p>網友之所以稱中共為「五毛黨」，是因為謠傳中國當局以每則5毛人民幣的代價，要網軍在網路社群平臺上帶風向，以抑制網路上對當局的批評。</p> <p>目前這個檢肅系統是否真的存在還有待釐清。而在Oculus創辦人Palmer Luckey周二透過推特<a href="https://twitter.com/PalmerLuckey/status/1265077232176775168" target="_blank">貼出</a>這則報導後，推友加入測試的結果是有人很快遭到刪除，但也有人表示什麼事都沒發生。</p> <p>Youtube解釋，可能是平臺執法系統發生錯誤，目前已展開調查。</p> </div></div></div>
2020/5/27 12:20作者林妍溱https://www.ithome.com.tw/news/137869
Google擬7月初重開部份辦公室，補貼居家上班費用1千美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然本月Google<a href="https://www.ithome.com.tw/news/137531" target="_blank">允許</a>員工在家上班直到今年底，但隨著武漢肺炎疫情趨緩，Google執行長Sundar Pichai<a href="https://www.blog.google/inside-google/working-google/working-from-home-and-office/" target="_blank">宣布</a>逐步重新開放部份地區的辦公室，在控制時間及人數前提下，先允許有必要的員工回到公司。</p> <p>從7月6日起更多城市的Google辦公大樓將重新開放，Google將以有限度、輪流方式開放員工進公司，例如每幾個星期有1天回來，以維持大樓人數密集率10%的水準。為了維持社交距離和衛生指引，Google也會大幅變更辦公室的空間配置。</p> <p>按照Google的規畫，如果條件允許，會在9月擴大開放人數，允許提高到30%的密集度。6月10日前，有必要進公司的員工會獲得主管通知，其他人則可以居家辦公直到年底，Google也鼓勵員工在家上班。</p> <p>這表示在年底前大部份的人，都還是居家辦公為主。為了補貼員工在家工作的花費，Pichai也宣布每位Google員工都可獲得1000美元或等值當地貨幣，資助他們購買必要設備及辦公傢俱。</p> <p>Pichai也說Google將持續研究更彈性的工作模式，以便讓辦公室成為人際互動和激發創新的地方，又能維持分散式工作的型態。</p> <p>一如Google，臉書也可望在7月6日漸次重開部份地區的辦公室。但臉書執行長祖克伯（Mark Zuckerberg）也<a href="https://www.ithome.com.tw/news/137796" target="_blank">宣布</a>，該公司未來有意讓半數員工改成遠端工作。</p> </div></div></div>
2020/5/27 12:40作者林妍溱https://www.ithome.com.tw/news/137870
川普推文被Tiwtter標註為缺乏根據的說法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）喜歡透過Twitter發表意見眾所皆知，昨天（5/26）川普即針對加州州長簽署了郵寄投票（Mail-In Ballots）行政命令一事提出看法，批評那是詐欺行為，指稱郵箱會被搶劫，且選票可能被偽造，不過，Twitter在該推文下方嵌入了一個<a href="https://twitter.com/realDonaldTrump/status/1265255845358645254" target="_blank">事實查核連結</a>，<a href="https://twitter.com/i/events/1265330601034256384" target="_blank">指稱</a>川普的說法缺乏根據，而川普則<a href="https://twitter.com/realDonaldTrump/status/1265427538140188676" target="_blank">反擊</a>Twitter干預2020年的總統大選。</p> <p>加州是全美第一個要在2020年總統大選，提供郵寄投票選項的州別，但包括川普在內的美國共和黨，卻反對這樣的作法，認為它將造成選舉舞弊。</p> <p>然而，當川普稱它是種詐欺行為的時候，Twitter即在推文下方嵌入了事實查核連結，指稱根據CNN、華盛頓郵報或其它媒體的查核，這是種沒有根據的說法，同時專家也認為郵寄投票其實很少牽涉到詐欺，認為川普的宣稱是錯誤的。</p> <p>在被Twitter打臉之後，川普反過來抨擊Twitter干預2020年總統大選，指責Twitter是根據「假新聞」CNN及「Amazon」華盛頓郵報的事實查核，來判斷他對郵寄投票的論述是錯誤的。</p> <p>為了避免成為假訊息的宣傳管道，Twitter會針對各種錯誤或有爭議的推文提出警告，今年3月美國白宮的社群媒體主任Daniel Scavino，就在Twitter及臉書上張貼了川普競爭對手Joe Biden在公開演講中的一段話，由於該影片經過編輯，只節錄了要大家只能投票給川普的那段話，而先後被Twitter及臉書<a href="https://www.ithome.com.tw/news/136266" target="_blank">貼上</a>了「不實資訊」的標籤。</p> <p>對於郵寄投票爭議，除了川普持續在Twitter上發言，Twitter或白宮都未對外回應。</p> </div></div></div>
2020/5/27 12:55作者陳曉莉https://www.ithome.com.tw/news/137871
金管會新主委預告3個月內揭6大金融方案，將訂Fintech藍圖和金融資安整體規畫，開放銀行第二階段則Q3上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會新主委黃天牧今天（5/26）率領新任副主委許永欽及各局處長，舉行上任後首次記者會，更進一步揭露了先前四大金融目標下更具體的施政方向，預計3個月完成具體方案，如將規畫金融科技發展路徑圖、推動整體性的金融資安行動方案等。</p> <p>黃天牧在交接點儀式上，先揭露的未來四大目標是強化金融韌性、推動創新金融、發展永續金融、落實普惠金融，今天揭露的6大興利方案包括了，公司治理3.0永續發展藍圖、綠色金融行動方案2.0、金融科技發展路徑圖、金融資安行動方案、信託業務2.0、保險業新一代清償能力制度等。黃天牧承諾，3個月內，也就是今年8月底前，將提出長期的制度和規劃，並分1到3年來執行，同時進行滾動式檢討。</p> <p>在金融科技發展路徑圖的規畫上，剛到任不到一周的黃天牧計畫，要傾聽科技業者對金融科技發展的意見，尤其，他強調，上任至今未與業者進行溝通，首次對外界溝通的對象將優先聚焦科技業者，時間預計排定在6月。這也看出這位新任主委對發展金融科技的重視。</p> <p>其他金融科技發展上，臺灣今年下半年還將迎來兩大金融重頭戲，黃天牧指出，3家純網銀會在今年第三季陸續開業，而開放銀行第二階段同樣也會在今年第三季上路。</p> <h3><span style="color:#006400;"><strong>3家純網銀取得營業執照前，還需過金管會7大監管</strong></span></h3> <p>目前，3家純網銀都已正式設立公司，後續還需完成資訊系統等各項作業，備好相關文件向金管會申請核發純網銀營業執照後，才能開始營業。去年中，金管會就提出，要開業，業者還得符合7大純網銀監管重點。</p> <p>這七項重點包括了流動性風險管理、信用風險管理，作業風險管理、信譽風險管理、落實公司治理、維持金融市場競爭秩序和消費者保護，去年金管會也逐一揭露了<a href="https://www.ithome.com.tw/news/132357">每項監管重點的細節</a>，銀行局局長邱淑貞也透露了部分監管重點更多的細節。</p> <p>她指出，純網銀的風險有其特殊性，不管是在流動性風險、資安、作業風險管理等方面，「金管會都針對這些特殊性來強化監理。」</p> <p>例如，7大監管重點之一，將透過存保公司來監控純網銀的24小時營運的流動性風險管理，例如追蹤存款總餘額、存款客戶利率分布等變化情形，邱淑貞表示，存保公司增加了很多新的即時監控設施，來監控純網銀的流動性風險。</p> <p>另外，在作業風險管理上，純網銀開業前，需要經過專業獨立機構，依照「金融機構辦理電腦系統資訊安全評估辦法」及「金融機構提供行動裝置應用程式作業規範」完成檢測，檢附至少1個月的模擬營業操作記錄，且自評符合資訊安全、個人資料保護及作業委託他人處理等規範。</p> <p>邱淑貞指出，這份模擬測試記錄內容，將依照純網銀業者取得營業執照後要提供的業務項目有關，業者必須在自家目前的資安環境做1個月的測試記錄，讓金管會看到要開業的項目，在這期間的測試記錄是可行的，且在資安可控管的範圍內來推動業務。不僅在開業前有資安要求，金管會也要求純網銀業者在開業1年內，必須通過並取得資安標準的認證。</p> <p>然而，儘管三家純網銀都完成公司登記，但黃天牧透露，目前尚未有任何一家向金管會申請核發純網銀營業執照。</p> <h3><span style="color:#006400;"><strong>開放銀行第二階段今年Q3可上路，先採試辦模式</strong></span></h3> <p>今年金融科技另一大重點是開放銀行第二階段的實施。黃天牧表示，今年第三季會上路，包括消費者保護、資安等議題都會有配套措施。邱淑貞更揭露，第二階段目前將先採取試辦，因為就金管會調查結果，金融機構對第二階段開放的資料，以及與TSP業者的合作方面較為擔心，所以建議先採取試辦，再來決定最後合作的模式，金管會則認為這樣的建議合適，故先接受試辦這個方式。</p> <p>邱淑貞更提到，試辦條件的部分，TSP業者必須遵守銀行公會的自律規範，以及財金公司所訂定資安相關的規格與規範。而銀行在選擇試辦的對象時，則會評估TSP業者的資安能力，以及對客戶資訊保護的作法，來選取合作的對象。她進一步表示，目前金管會所知道的試辦，大概分為兩個模式，一是確實由銀行跟TSP業者一起合作試辦；另一種模式，則是整個集團內各個不同公司的資訊分享。這是開放銀行試辦的兩個模式。</p> <h3><span style="color:#006400;"><strong>金管會將提出一套4年期金融資安整體計畫</strong></span></h3> <p>不只大力發展金融科技，曾擔任過金管會資安長的黃天牧，對金融資安有一套自己的看法，他表示，資安是發展金融科技不可或缺的制度，資安要往前看，要有整體觀，不是發生一件事件後再去彌補。所以，他將要推動一項金融資安行動方案，來設計一個整體金融產業的資安發展政策。</p> <p>金管會資訊服務處處長蔡福隆進一步說明，國際上金融事件頻傳，金融資安威脅是每天都在發生的事情。不過，金管會以往在因應資安事件的發生，都是在資安事件發生之後，才去建立相關的監理措施，這樣的作法難以應付駭客越來越走向國際化、專業化與組織化的威脅。</p> <p>他提到，面對金融資安防護的挑戰，金管會參考了國際間金融資安相關監理的趨勢，擬具金融資安行動方案，透過整體性資安監理政策，強化我國金融機構資安防護的能力。金管會將在近期找來相關金融機構與公會來擬定、推動該方案，預計2個月內訂定完成，要以4年為期分階段推動，同時將因應國內外資安情勢做滾動式檢討。</p> <p>此外，蔡福隆表示，金融資安行動方案的工作項目，主要分為四個構面，第一個構面是有關強化資安監理，希望可以形塑金融機構重視資安的組織文化，完備相關資安規範，並透過誘因，讓金融機構願意自己把資安做好。二是深化金融機構的資安治理，要加強金融機構資安管理，強化資安監控相關措施。三則是精實金融韌性。最後一點是發揮資安聯防功能，透過F-ISAC（資安資訊分享及分析中心）來強化相關資安情資分享與合作，建立金融資安相關事件監控與應變體系。文⊙李靜宜</p> </div></div></div>
2020/5/26 23:25作者李靜宜https://www.ithome.com.tw/news/137863
微軟更新Azure Cosmos DB現可自動縮放預設吞吐量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟更新了自家的雲端NoSQL資料庫服務<a href="https://devblogs.microsoft.com/cosmosdb/build-2020-announcements/">Azure Cosmos DB</a>，除了強化和分析服務Azure Synapse的整合之外，該資料庫服務現在還能自動縮放配置的吞吐量，而且用戶也可以使用自己的金鑰對靜態資料加密。</p> <p>微軟釋出了Azure Synapse Link功能預覽，這是一個混合交易和分析處理的功能，可讓Azure Synapse存取Cosmos DB，以獲取接近即時的分析結果。微軟提到，Synapse Link和Cosmos DB緊密整合，其使用Cosmos DB分析儲存庫，這是一個完全隔離的欄儲存，可讓Azure Synapse Link以無ETL（Extract-Transform-Load）的方式，分析儲存在Cosmos DB中的資料，因此企業可以在不影響Cosmos DB上交易工作負載效能的情況下，透過Synapse Spark或Synapse SQL以執行接近即時的商業智慧、分析和機器學習工作管線。</p> <p>而Cosmos DB之前預覽的自動駕駛模式，現在更名為自動縮放預配置吞吐量正式釋出，藉由自動縮放功能，可以在維護SLA的同時，自動快速擴展以滿足突如其來的流量峰值，微軟提到，自動縮放功能讓用戶不用監控流量，並且還能與Azure Cosmos DB免費服務一併使用。正式版比預覽版多了一些功能，包括能以請求單位（RU/s）自定義最大預配置吞吐量層級，而且也能自動擴展現存資料庫和容器，使用者也可以用Cosmos DB SDK和資源管理樣板，編寫程式控制。</p> <p>在安全性的改進上，用戶現在可以使用自己管理的金鑰加密靜態資料，這功能可滿足使用者特殊的安全性和法遵要求。另外，Azure Cosmos DB現在還內建Jupyter Notebook，資料科學家可以直接在Cosmos DB中分析並視覺化資料，微軟提到，為了方便團隊協作和共享筆記本，使用者可以將筆記本工作空間連接到GitHub存儲庫中，在該工作空間進行查看、執行和編輯，之後便能簡單地將成果跟他人共享。</p> <p>微軟還預告了幾個即將推出的功能，包括Cosmos DB將推無伺服器服務，該服務將會成為現有的預配置吞吐量計價模型的另一種選擇，無伺服器消除了預配置吞吐量的概念，可滿足不穩定吞吐量工作負載的需求。微軟還將推出時間點還原（PITR）功能，可以避免意外寫入或是刪除資料所造成的傷害，還能連續備份Cosmos DB資料。</p> </div></div></div>
2020/5/27 01:20作者李建興https://www.ithome.com.tw/news/137859
Nvidia資料視覺化工具IndeX在Google雲端市集上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端市集現在上架Nvidia的資料視覺化工具<a href="https://news.developer.nvidia.com/nvidia-index-now-available-on-google-cloud/">IndeX</a>，IndeX SDK可以讓研究人員即時視覺化並且操作超大量的資料集。IndeX可以提供準確且高品質的資料視覺化、資料表達和註釋功能，而且支援高擴展性，對GPU架構最佳化，因此可跨多個GPU進行運算。</p> <p>IndeX上架到Google雲端，便可應用雲端基礎設施，使用GPU加速叢集，即時對大規模資料進行視覺化，並且強化嵌入幾何和多值體積資料的運算。Nvidia IndeX可以在Kubernetes叢集上執行，並且運用GPU執行計算，Nvidia提到，IndeX還可以透過Web API部署成為渲染伺服器，讓客戶端應用程式也可以整合使用大規模資料集。</p> </div></div></div>
2020/5/27 01:20作者李建興https://www.ithome.com.tw/news/137860
密碼心理學：66%習慣使用同樣的密碼，42%認為好記的密碼比安全性重要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理解決方案供應商LastPass本周<a href="https://blog.lastpass.com/2020/05/new-survey-shows-bad-passwords-at-home-affect-the-workplace-too.html/" target="_blank">公布</a>一調查報告，指出就算絕大多數的使用者都知道複雜密碼的重要性，但依舊有66%的使用者習慣採用同樣的密碼，而且有42%認為，好記的密碼比安全性還重要。</p> <p>LastPass調查了來自全球的3,250名網路使用者，詢問他們對密碼的態度，發現他們的觀念與行為頗不一致。例如有91%的受訪者知道持續採用同樣的密碼是危險的，但卻有66%依舊使用同樣或類似的密碼；或者有80%的使用者擔心密碼會外洩，但卻有48%從未變更他們所使用的密碼。當詢問使用者為何使用同樣的密碼時，有60%回答他們擔心忘記。</p> <p>當LastPass詢問使用者總共建立多少個網路帳號時，有7成受訪者的答案落在1至20個之間，事實上，根據LastPass的用戶數據分析，每個LastPass用戶平均有38個網路帳號。LastPass認為，這代表使用者自己並不知道到底有多少可能被危害的帳號。</p> <p>此外，42%的受訪者認為自己的帳號或資訊並不值錢，但LastPass提醒，一組信用卡資訊在黑市的售價雖然只有5美元，但可能會被用來盜刷，或是藉由相關資訊來存取使用者的金融帳號。</p> <p>幸好有愈來愈多的使用者開始採用多因素認證，除了使用密碼之外，也添加了指紋或一次性密碼等多重安全機制，只是，雖然有54%表示他們在個人帳號上使用了多因素認證，但只有37%在職場上使用多因素認證。</p> <p>其實使用者並非是在所有的帳號上都採用同樣的密碼，而是有重要性的區別，例如當詢問會在哪些帳號建立更強大的密碼時，選擇金融服務的占了69%，電子郵件占了47%，醫療紀錄占了31%，工作帳號占了29%。</p> </div></div></div>
2020/5/27 00:45作者陳曉莉https://www.ithome.com.tw/news/137864
時間序列資料庫TimescaleDB多節點版本現在免費！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有數千萬下載次數，連西門子、富士通和Comcast都在用的開源時間序列資料庫<a href="https://blog.timescale.com/blog/multi-node-petabyte-scale-time-series-database-postgresql-free-tsdb/">TimescaleDB</a>，現在開放最新的1.7多節點版本供免費使用，這個版本還包括了資料保存（Data Retention）政策、降採樣和資料重新排序政策等企業功能。</p> <p>TimescaleDB是一個新興資料庫，但是卻擁有龐大且活躍的社群，除了數千萬次的下載之外，還有數十萬個啟用部署，TimescaleDB可被部署到各式平臺上，包括Kubernetes、Docker，也能直接使用官方提供，在AWS、Azure和GCP上提供的全託管企業級服務。</p> <p>TimescaleDB剛開始發展時，只是個單節點時間序列資料庫，但現在TimescaleDB基礎架構規模，已經可以擴展支援每秒數百萬指標與100 TB以上的儲存，被西門子、施耐德、華納音樂、富士通和Comcast等知名企業使用。</p> <p>這次免費開放的多節點TimescaleDB版本重要功能，是可以透過跨多節點的平行化操作，以及增加聚合磁碟的IOPS，擴展讀寫能力，且能利用聚合下推（Push-Down Aggregation）以提供更快速地查詢。另外，TimescaleDB的橫向擴展能力，可以為線上的系統直接增加新的資料節點，而資料備份則可提供完善的容錯和負載平衡能力。</p> <p>根據官方提供的基準測試資料，隨著TimescaleDB叢集規模擴大，可以大幅擴充每秒指標的處理量，TimescaleDB單節點的每秒指標處理量為278萬，而2個資料節點1個存取節點，則可以提供461萬每秒指標處理量，向上擴充到8個資料節點和1個存取節點，則可以達到每秒1,278萬的指標處理量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted%20image%200(6).png" style="width: 580px;" /></p> <p>官方強調這次釋出的免費版本，使用的是特別的Timescale授權許可，可讓用戶廣泛的使用Timescale原始碼，但不讓雲端服務供應商利用Timescale，來建立TimescaleDB即服務。目前只有這個TimescaleDB多節點版本使用Timescale授權，其他多數TimescaleDB程式碼仍然是使用Apache 2授權。</p> <p>之所以現在要開源這個TimescaleDB的多節點版本，官方提到，雖然他們可以利用多節點功能來賺錢，事實上現在許多資料庫廠商，也都是對多節點功能收費，但由於TimescaleDB現在可以發展到當前這個狀態，不少需歸功於社群的幫忙，因此他們才決定免費對外開放多節點版本。</p> <p>官方也預告，目前他們正在開發的產品是Prometheus開源分析平臺，提供PromQL、SQL和原生壓縮等功能，還可以自由地從單節點部署成分散式架構，可透過Helm以及Docker進行Kubernetes原生部署。這個分析平臺建構在TimescaleDB之上，原本是用來滿足自家基礎設施的監控需求，而現在他們決定完善這個工具後對外釋出。</p> </div></div></div>
2020/5/27 00:55作者李建興https://www.ithome.com.tw/news/137848
新加坡購物中心CapitaLand加入電子商務戰局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡房地產龍頭、且於新加坡經營18個購物中心的凱德集團（CapitaLand），本周<a href="https://www.capitaland.com/international/en/about-capitaland/newsroom/news-releases/international/2020/may/CapitaLand-launches-ecommerce-platforms-eCapitaMall-and-Capita3Eats.html" target="_blank">宣布</a>將加入電子商務戰局，準備在今年6月1日推出電子商務平臺eCapitaMall及食物訂購平臺Capita3Eats。</p> <p>eCapitaMall初期雖然是以該團隊18個實體購物中心的2,000個商家為基礎，但也歡迎其它零售業者進駐，而Capita3Eats則是新加坡第一個由購物中心經營的食物訂購平臺，消費者可以選擇外送、到店取貨或是到餐廳享用。</p> <p>為了因應武漢肺炎（COVID-19）疫情的散布，新加坡在今年4月啟動了「斷路器」（circuit breaker）政策，關閉提供非必要服務的商店，關閉了學校，落實居家辦公，同時加強安全距離措施，並禁止私人與公共場所聚會。</p> <p>負責零售的凱德總經理Chris Chong表示，對新加坡的零售商來說，「斷路器」彰顯了全通路及24小時策略的重要性，作為新加坡最大購物中心網路的經營者，他們想要協助零售業者觸及更多的消費者，並掌握線上業務機會。</p> </div></div></div>
2020/5/27 01:00作者陳曉莉https://www.ithome.com.tw/news/137865
泰國最大電信業者AIS外洩數千萬用戶的即時瀏覽資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員Justin Paine近日<a href="https://rainbowtabl.es/2020/05/25/thai-database-leaks-internet-records/?=may-23-2020" target="_blank">揭露</a>，他在網路上發現了一個不需憑證就能存取的ElasticSearch資料庫，查看之下發現它隸屬於泰國最大電信業者AIS旗下的子公司AWN，該資料庫上存放了數千萬用戶的數十億筆即時瀏覽資料，儘管只是DNS查詢與Netflow紀錄，但依舊能得知特定IP的網路瀏覽行為。</p> <p>泰國的總人口數約為7千萬人，而專門提供GSM行動電話服務的AIS則有近4千萬用戶，其子公司AWN則是提供有線及無線網路服務、電信網路與電腦系統。</p> <p>Paine指出，雖然他是在5月7日才發現曝露的ElasticSearch資料庫，但該資料庫自5月1日就能公開存取，而AWN則是在5月22日，才將它自公開網路上移除。</p> <p>該資料庫上存放了逾33億筆的DNS即時查詢紀錄，涉及上千萬個獨立IP，還有大約50億行的NetFlow紀錄，每秒約紀錄3,200個事件，在24小時內紀錄了超過100萬個不重覆IP。其中，NetFlow為思科所開發的網路協定，主要用來蒐集IP流量資訊並監控網路流量。</p> <p>儘管資料庫上並未存放使用者的個人資訊或憑證，而只有DNS查詢與NetFlow紀錄，但Paine認為，透過DNS查詢紀錄就能得知個人或一個家庭的網路使用行為，理應被視為敏感資訊。</p> <p>為了證實他的理論，Paine選擇了某個特定的IP進行分析，這個IP在資料庫中有668筆流量紀錄，涵蓋DNS流量、HTTP、HTTPS及SMTP等，其中的DNS查詢即曝露該IP的行為，例如它曾造訪臉書（28次）、Google（21次）、蘋果網路、Google Play、Chrome、YouTube、三星網路、微軟Office、Windows網站、ESET、TikTok或微信等。</p> <p>於是Paine判斷該使用者或是該家庭至少擁有1個Android裝置，也可能擁有像是網路電視的三星裝置，至少有一個Windows裝置，也至少有一個蘋果裝置，使用Chrome瀏覽器、Office、ESET防毒軟體，以及所造訪的社交網路。</p> <p>這已經不是第一個因配置失誤而曝光的ElasticSearch資料庫，Paine建議該資料庫應該在使用者（不管有意或無意）將它公開時祭出警告，另外也建議使用者應該採用DNS over HTTPS或DNS over TLS，以避免ISP業者紀錄並追蹤使用者的DNS查詢。</p> </div></div></div>
2020/5/26 14:10作者陳曉莉https://www.ithome.com.tw/news/137843
勒索軟體攻擊發展出加裝VM以躲避防毒偵測的新手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Sophos<a href="https://news.sophos.com/en-us/2020/05/21/ragnar-locker-ransomware-deploys-virtual-machine-to-dodge-security/" target="_blank">發現</a>一隻勒索軟體，會在進入受害電腦時安裝VM（virtual machine）以避免被防毒軟體偵測到。</p> <p>Sophos最近偵測到這隻名為Ragnar Locker的勒索軟體，會在Windows XP VM環境下執行Oracle VirtualBox，以便在防毒軟體偵測不到的「安全環境」中，執行其勒索軟體。</p> <p>研究人員指出，Ragnar Locker背後的駭客組織一向在植入勒索軟體前，先從目標電腦上竊取資料。四月間駭客已經對葡萄牙能源（Energias de Portugal）網路發動攻擊，聲稱竊取了10TB敏感公司資料，並勒索1580枚比特幣（約1100萬美元）的贖金，否則將公布這批資料。</p> <p>過去的攻擊中，Ragnar Locker駭客組織會先利用代管服務供應商的系統漏洞，或攻擊Windows Remote Desktop Protocol（RDP）連線以便駭入目標網路。在取得受害者網域的管理員權限，竊取資料後，攻擊者即利用原生的Windows管理員工具，像是PowerShell或Windows群組原則物件（Group Policy Objects，GPO）在網路內橫向移動，最後進入Windows用戶及伺服器。</p> <p>而在近日的攻擊下，研究人員發現，Ragnar Locker駭客就是利用GPO程序執行Microsoft Installer (msiexec.exe)，傳輸參數後，從遠端Web伺服器悄悄下載並安裝122MB未簽章過的MSI套件。這個套件包含二個檔案，一是舊版Oracle VirtualBox hypervisor，是來自2009年8月5日的Sun xVM VirtualBox 3.0.4。另一個則是Windows XP SP3精簡版（名為MicroXP v0.82）映像檔，名為micro.vdi，這個檔案內含49KB的Ragnar Locker勒索軟體執行檔。</p> <p>此外該MSI檔還部署可執行檔、批次檔及其他檔案。做了種種準備後，駭客利用一個腳本程式關閉電腦上的安全偵測及通知服務，使其本機磁碟、可移除磁碟、網路磁碟機門戶大開，而主要應用程式、資料庫及備份應用程式等也都解除設防，最後讓Ragnar Locker得以全部加密。</p> <p>由於所有動作都來自VirutalBox這支App的合法程序，因而主機上防毒軟體無從攔截偵測。安全廠商還觀察到VM內的勒索軟體完全針對每臺機器獨家編譯而成。研究人員說，Ragnar Locker的案例顯示，勒索軟體的攻擊手法已經來到新的境界。</p> <p>之前安全產業也發現，勒索軟體已經衍生出<a href="https://www.ithome.com.tw/news/135761" target="_blank">關閉防毒軟體</a>、或是<a href="https://www.ithome.com.tw/news/134771" target="_blank">迫使電腦進入安全模式</a>以避免被偵測等高階能力。</p> </div></div></div>
2020/5/26 14:40作者林妍溱https://www.ithome.com.tw/news/137845
針對8萬個應用程式的調查發現，有7成程式含有開源漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>應用程式安全業者Veracode本周公布其軟體安全<a href="https://www.veracode.com/sites/default/files/pdf/resources/reports/state-of-software-security-open-source-edition-veracode-report.pdf" target="_blank">研究報告</a>，指出在所掃描的8.5萬個應用程式中，有7成應用程式所使用的開源函式庫，至少含有一個安全漏洞。</p> <p>此次Veracode的研究著眼於開源函式庫的安全漏洞。這是因為在現代的應用程式中，開源函式庫幾乎無所不在，例如大多數的JavaScript程式都含有數百個開源函式庫，有些更超過1千個；而且許多程式語言都有同樣的核心函式庫組合，例如每一個JavaScript或PHP程式都使用了一些特定的核心函式庫。</p> <p>Veracode分析了8.5萬個應用程式所使用的35.1萬個外部函式庫，顯示開源函式庫幾乎無所不在，以JavaScript程式的使用數量最多，多半使用數百個開源函式庫，而不管是Ruby程式、Java程式、PHP程式、.NET程式、Python程式、Go或Swift程式，也都使用了數個到數百個不等的開源函式庫。</p> <p>根據統計，有接近6成的PHP開源函式庫含有安全漏洞，超過5成的Go開源函式庫有漏洞，雖然只有20%左右的Swift開源函式庫含有安全漏洞，但Swift開源函式庫的漏洞密度最高，代表每個Swift開源函式庫含有更多的漏洞，約為7個。約有26%的JavaScript開源函式庫含有安全漏洞，但平均每個函式庫的漏洞數量為2個。</p> <p>這些開源函式庫的安全漏洞前三名為跨站指令碼（Cross-site scripting，XSS），占29.1%，不安全的反序列化（23.5%），以及有缺陷的存取控制（20.3%）。</p> <p>值得注意的是，在應用程式中所採用的、含有安全漏洞的函式庫，有高達47%並非是開發者自行嵌入的，而是因為與其它函式庫相依而被導入的，而這樣的情況在JavaScript、Ruby、PHP與Java程式中特別常見。不過，幸好7成的漏洞只要藉由更新就能修補，而不必重寫程式。</p> </div></div></div>
2020/5/26 15:45作者陳曉莉https://www.ithome.com.tw/news/137846
不需要底層遊戲引擎，Nvidia AI查看遊戲歷程就能重建Pac-Man遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia所開發的人工智慧模型GameGAN，可以透過查看遊戲歷程，就能<a href="https://blogs.nvidia.com/blog/2020/05/22/gamegan-research-pacman-anniversary/">重新創造出Pac-Man遊戲</a>，這樣的結果讓原本遊戲開發商BANDAI NAMCO都震驚。這個研究的價值在於人工智慧可以透過觀察習得規則，而不需要了解遊戲底層，這個應用可以擴展到機器人或是自動駕駛應用。</p> <p>GameGAN是生成對抗網路（Generative Adversarial Network，GAN），透過生成網路和判別網路兩個互相競爭的神經網路，進行學習並創建出新的內容。而Nvidia的GameGAN則可在經過5萬回遊戲訓練之後，不需要底層遊戲引擎，就能生成完整的Pac-Man遊戲，也就是說，即便一開始人工智慧不了解遊戲的基本規則，也能夠透過觀察學習，理解遊戲的規則。</p> <p>BANDAI NAMCO研究人員Koichiro Tsutsumi提到，在看到結果的時候他們很驚訝，人工智慧可以在沒有遊戲引擎的情況下，重新創建他們具代表性的Pac-Man遊戲，而這項技術有許多潛在可能性，對遊戲產業來說，可以提升遊戲開發人員創建新關卡、角色，甚至是遊戲本身的速度。</p> <p>Nvidia研究人員使用BANDAI NAMCO提供的訓練資料來訓練GameGAN，人工智慧可以追蹤虛擬世界，並且記住已經生成的內容，在影格與影格之間維持視覺的一致性，Nvidia提到，無論應用在哪種遊戲中，生成對抗網路都可以從遊戲歷史記錄學習遊戲規則，BANDAI NAMCO所提供的5萬回訓練資料，包含了遊戲畫面錄影的數百萬影格，以及按鍵記錄資料。</p> <p>經過訓練的GameGAN模型，會產生環境的靜態元素，諸如一致的迷宮形狀、點以及大力丸（Power Pellets），另外也會產生像是幽靈或是小精靈等動態元素。遊戲規則就像是原始遊戲一樣，小精靈無法穿牆，隨著移動會吃掉點，在吃到大力丸的時候便可以反吃變成藍色的幽靈等。</p> <p>目前開發各種自動機器人必須仰賴模擬器，像是讓倉庫機器人學會抓握，或是讓送貨機器人學會在指定的路線上運輸物品，Nvidia提到，創建模擬器是一個耗時的工作，開發人員必須要撰寫有關於物件在環境中互動的規則。</p> <p>而Nvidia的這項研究提供了一種更簡單的可能性，訓練神經網路來取代人類編寫的模擬器，例如在自駕車的應用上，可透過汽車上的攝影機，紀錄道路環境和駕駛員行為，讓模型預測駕駛員在各種情況下的動作，並在發生意外事故時，即時作出反應。</p> </div></div></div>
2020/5/26 16:00作者李建興https://www.ithome.com.tw/news/137844
新版Microsoft Edge可同步擴充程式到多臺裝置、防止自動播放網站聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Build大會上<a href="https://docs.microsoft.com/en-us/DeployEdge/microsoft-edge-relnote-stable-channel#version-83047837-may-21" target="_blank">釋出</a>Chromium-based Edge瀏覽器83.0.478.37新版，包含擴充程式在多臺機器上同步、防範網站聲音自動播放或導引到惡意網站等功能。</p> <p>新版Edge可以自動同步各個裝置上的Edge擴充程式，這項新功能適用於來自Microsoft Store及Chrome Store的擴充程式。到工具列中「設定」「同步」「Profile/同步」表單下，即可找到「擴充程式」項開啟。</p> <p>Edge的Defender SmartScreen也強化安全防護，可防止網站載入時重導引到惡意網站，其頂層框架封鎖（top-level frame blocking）功能可將惡意網站置換成Defender SmartScreen的安全網頁。頂層框架封鎖還能防止網站自動播放聲音，以防使用者被不知名的聲音干擾或混淆。</p> <p>新版Edge的Collection功能還支援拖放，讓使用者更容易從各個網頁擷取文字或物件，也能一次加入多個物件。此外，使用者在家連到需要工作帳號驗證的網站時，Edge的自動身份切換（profile switching）功能偵測到後會顯示輸入視窗，方便轉換到工作用的身份，而無需重新登入，也有助於公、私生活切分開來。</p> <p>其他功能還包括強化「下載」管理頁訊息，以避免用戶從被封鎖網頁下載不安全的檔案，透過按右鍵一次將所有分頁加入新收藏、儲存特定網站的外部協定、以及更容易在Edge「設定」中，將之設為預設瀏覽器等。</p> <p>微軟會在近日內陸續完成將新版Edge部署到用戶端。</p> <p>Microsoft Edge轉換為Chromium核心後，已<a href="https://www.ithome.com.tw/news/136773" target="_blank">在今年3月</a>超越Firefox成為市占第二的瀏覽器。</p> </div></div></div>
2020/5/26 16:10作者林妍溱https://www.ithome.com.tw/news/137847
微軟承認KB4556799可能導致電腦無法連網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對本月中釋出的Windows 10 KB4556799更新版，微軟本周<a href="https://support.microsoft.com/en-us/help/4556799/windows-10-update-kb4556799" target="_blank">證實</a>會造成用戶裝置無法連網，承諾會在下版更新解決。</p> <p>KB4556799累積更新於兩周前隨同Patch Tuesday<a href="https://www.ithome.com.tw/news/137792" target="_blank">釋出</a>後，隨即使用者通報各種問題，包括無法安裝、安裝到一半卡住，另有多人抱怨安裝KB4556799版更新後遭遇藍色死亡螢幕（Blue Screen of Death，BSoD）及不斷重新開機。少數人通報螢幕閃爍、遊戲無法啟動、電腦沒有聲音等。其他問題還有Outlook搜尋失靈、預設字體改變以及PC被轉為S Mode，另有人電腦檔案被刪光。</p> <p>微軟目前僅證實，安裝KB4556799後，內建WWAN （wireless wide area network）LTE數據機的電腦，可能無法連上網路，但是Windows 10的網路連線指示，卻仍然顯示電腦有連上網的狀態。針對這個問題，微軟表示會在下一次更新予以解決。</p> <p>直到上周五仍維持「沒有發現任何問題」訊息的微軟官網，周末經過更新，表示從社群網站和媒體報導得知和KB4556799相關的多項問題。但根據Windows遙測資料、支援資料或客戶回饋管道，他們尚未看到有很廣泛的問題。</p> <p>微軟表示正在積極調查中，也呼籲使用者如果發生問題，可透過Windows+F的按鍵組合，或是從「開始」表單進入Feedback Hub反映。</p> <p>針對BSOD，HP似乎已經提供暫時解法。有網友<a href="https://twitter.com/AskWoody/status/1264643120450416640" target="_blank">發現</a>HP星期日針對OMEN桌機系列，釋出HP Software Component 4.1.4.3079，可解決BSOD問題，可能是這個更新版和Windows Defender衝突引發KMODE_EXCEPTION_NOT_HANDLED（驅動程式嘗試關閉）的錯誤。不過HP ENVY筆電並沒有發生BSOD現象。</p> </div></div></div>
2020/5/26 12:05作者林妍溱https://www.ithome.com.tw/news/137841
內賊資安事件調查發現，6成犯案者是準備離職員工與約聘人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安分析業者Securonix本周<a href="https://pages.securonix.com/rs/179-DJP-142/images/Insider-Threat-Report-May-2020-Securonix.pdf" target="_blank">公布</a>《內賊威脅報告》（Insider Threat Report），指出在由內賊造成的資安意外中，有6成是來自於那些即將離職的員工或約聘人員，而這些被稱為具有「flight risk」（遷徒風險）的員工中，有超過8成是在離職前的2周到2個月間，破壞了企業的資安。</p> <p>Securonix調查了曾發生過內賊資安事件的逾300家企業，顯示有28.3%屬於醫藥/生命科學產業，27.7%為金融組織，還有13.2%為IT產業，公用事業占了10.7%，電信與製造業則各占8.2%與6.3%。</p> <p>而這些內賊所從事的破壞行動主要為盜走資料，占了62%，居次的是濫用權限的19%，9.5%屬於資料聚合與偷窺，5.1%是繞過IT控制，還有3.8%與他人共享帳號。</p> <p>而在企圖盜走企業機密資料的內賊中，最多人使用的是把公司的電子郵件轉寄到個人郵件帳號，占了43.75%，其次是濫用雲端協作權限，占16.07%，資料聚合與下載占了10.71%，使用未經授權或未加密隨身碟的占了8.93%，藉由SharePoint挖掘數據的占了8.04%，透過外部網站盜走資料的占6.25%，也有3.57%把電子郵件傳送到非商用網域，另有2.68%把電子郵件寄到競爭對手的網域。</p> <p>Securonix指出，以隨身碟盜走資料的比例日益下滑，原因是企業若非嚴格限制隨身碟的使用，就是完全禁用隨身碟。</p> <p>而濫用權限則反映在許多不同的狀況中，例如中型或大型組織中經常發現違反IT控制的現象，像是缺乏適當理由就執行PowerShell，建立幽靈帳號或濫用服務帳號來執行未經許可的程式，而約聘人員則經常共享特定企業應用的管理員憑證，其中有一個被逮到是因為該帳號在一小時內分別從印度與中國登入。</p> </div></div></div>
2020/5/26 11:15作者陳曉莉https://www.ithome.com.tw/news/137837
拉脫維亞釋出Google、蘋果技術為基礎的COVID-19接觸追蹤App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月稍早東歐國家拉脫維亞釋出COVID-19接觸追蹤App，是利用Google、蘋果提供的技術開發而成的早期成功案例之一。</p> <p>拉脫維亞媒體<a href="https://lvportals.lv/norises/315789-ar-mobilo-lietotni-centisies-noteikt-covid-19-kontaktpersonas-2020" target="_blank">報導</a>，武漢肺炎疫情趨緩，各國政府於近日開始解除封鎖令，允許商業及社交活動，但是這也將增加人際接觸感染的風險，因此拉脫維亞政府5月6日解除該國緊急狀態前，即釋出這款名為Apturi COVID（意為Stop COVID）的App展開公眾測試。不過，拉脫維亞政府並未強制推行這款App，民眾可自由決定下載使用。</p> <p>路透社<a href="https://www.reuters.com/article/us-health-coronavirus-tech-latvia/latvia-to-launch-google-Apple-friendly-coronavirus-contact-tracing-App-idUSKBN23118I" target="_blank">報導</a>這應該是第一個利用Google和蘋果聯合開發的曝險通知系統（Exposure Notification System）為底層開發出的政府App。</p> <p>兩大科技龍頭上周正式<a href="https://www.ithome.com.tw/news/137742" target="_blank">釋出</a>接觸者曝險通知Exposure Notification API，供政府及衛生主管機關開發接觸追蹤應用程式，可在有人確診感染時，經由系統對民眾發出警告。Google、蘋果表示，已有22國及美國許多州和他們洽詢過，他們也對政府機關和開發商做了簡報。</p> <p>雖然拉脫維亞的App僅適用於該國約200萬民眾，不過理論上可以和其他使用Google、蘋果技術開發的App相容，以便App跨境互通。路透社報導，目前拉脫維亞、愛沙尼亞、德國、瑞士，為第一批加入這個互通社群的國家。</p> <p>少了科技大廠的協助，各國政府開發App就會相對吃力。<a href="https://www.ithome.com.tw/news/136577" target="_blank">新加坡</a>和<a href="https://www.ithome.com.tw/news/137235" target="_blank">澳洲</a>政府更早釋出的App，雖然也宣稱使用分散式追蹤架構，但都被學者指出有隱私疑慮。</p> <p>另一方面，英國政府原本決定自己開發集中式的接觸追蹤感染App，但這款App爆發<a href="https://www.bbc.com/news/technology-52725810" target="_blank">安全漏洞</a>，媒體<a href="https://www.aljazeera.com/news/2020/05/uk-contact-tracing-phone-App-coronavirus-deadline-200523092917291.html" target="_blank">報導</a>，可能趕不及在6月1日開放商業活動和學校上課前完成開發。</p> </div></div></div>
2020/5/26 11:45作者林妍溱https://www.ithome.com.tw/news/137839
GitLab紅隊向在家工作的員工發動釣魚攻擊測試，五分之一的人被攻陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab為了解自家員工對於釣魚攻擊的敏感程度，於是由紅隊向在家工作的員工，發動<a href="https://gitlab.com/gitlab-com/gl-security/gl-redteam/red-team-tech-notes/-/tree/master/RT-011%20-%20Phishing%20Campaign">釣魚攻擊測試</a>，但結果不甚理想，有五分之一的員工成功被騙走GitLab.com登入資料，而且只有6人向安全團隊回報，因此未來安全團隊除了會加強與其他成員溝通之外，也會每季舉辦釣魚測試。</p> <p>網路釣魚是透過偽造的登入頁面，收集身份驗證登入資料的攻擊，GitLab提到，這個測試的目的，是要針對GitLab團隊成員進行針對性的網路釣魚，目標是要獲得GitLab.com憑證。在這次的釣魚攻擊演練中，紅隊利用域名gitlab.company，並且使用GSuite寄送釣魚郵件，而域名和GSuite服務的設定，則使用數位簽章DKIM以及合法的SSL憑證等最佳方法配置，這使得無論是自動釣魚網站偵測還是人工檢查，都難以發現其可疑之處，而任何攻擊者都能以非常低的成本，建置這種看起來合法的基礎架構。</p> <p>練習用的網路釣魚框架，紅隊選用開源的GoPhish專案，GoPhish是個可高度自定義的框架，內建追蹤和捕捉網路釣魚活動回應的功能，紅隊並將其託管在GCP基礎設施中的小型Linux系統中。</p> <p>這次紅隊隨機挑選了50個GitLab團隊成員，作為網路釣魚的目標，他們設計了一封電子郵件，內容是GitLab IT部門所提供的筆電升級方案，要求團隊成員點擊連結進行升級，連結是在gitlab.company網域上託管的偽造GitLab.com登入頁面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedTeamPhishEmailMay2020.png" style="width: 580px;" /></p> <p>在這次的演練測試中，紅隊設立的目標，只要能獲取電子郵件地址或是帳戶名稱就算釣魚成功，在50個網路釣魚電子郵件中，共有17個收件人點擊了電子郵件中的連結，而這17個人中有10個人，嘗試在偽造的網站中登入，輸入登入資料的成員，會被重新導向到GitLab手冊中。總共只有6個收件者，將電子郵件回報給安全團隊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedTeamPhishingGraphs.png" style="width: 580px;" /></p> <p>電子郵件中有許多線索，可作為團隊成員發現釣魚攻擊的線索，包括電子郵件地址<a href="mailto:[email protected]">[email protected]</a>並不在合法的gitlab.com網域中，而且郵件內容所提供的筆電更新，是比大多數使用者所擁有筆電還舊的型號。紅隊提到，使用相似的域名，是針對性網路釣魚攻擊常用的技術，而且信中微小的事實錯誤，通常是非法來源的指標，而且信中沒有提供第二個聯絡方法，像是Slack或公司電話等輔助通信方法，另外，使用者也可以從電子郵件標頭細節，查看更多的線索。</p> <p>紅隊除了建議團隊成員，多瀏覽GitLab手冊中網路釣魚攻擊的章節之外，由於過少的成員向安全團隊回報釣魚攻擊，因此安全團隊會加強和團隊成員的溝通，每季也會對其他抽樣群體進行額外的釣魚演練。</p> </div></div></div>
2020/5/26 10:20作者李建興https://www.ithome.com.tw/news/137832
《美國自由法案》修訂版讓FBI不需搜索票就能存取民眾搜尋與瀏覽紀錄，遭Mozilla及Twitter等業者公開反對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議院在5月中旬通過了《美國自由法案》（USA Freedom Act）修訂版，此一版本又被稱為《美國自由再授權法案》（USA Freedom Reauthorization Act），目的在於重新納入被自由法案移除的政府監控工具，包括允許FBI不必取得法院搜索票，就能存取使用者的搜尋與瀏覽紀錄，且即將於本周進入眾議院表決， Mozilla、Reddit及Twitter等多家業者緊急<a href="https://blog.mozilla.org/wp-content/uploads/2020/05/USA-FREEDOM-Reauthorization-Letter-to-House.pdf" target="_blank">發表公開信</a>以求力挽狂瀾。</p> <p>美國國會於1978年通過《外國情報監視法案》（Foreign Intelligence Surveillance Act，FISA），授權政府機關可監控外國人的電子通訊；在遭到911恐怖攻擊之後，美國國會在2001年通過了《愛國者法案》（USA Patriot Act），著眼於擴大及現代化美國政府的監控能力；然而，當吹哨者Edward Snowden公布了美國國安局（NSA）的全球監控行徑之後，美國在2015年以《美國自由法案》取代了《愛國者法案》（USA Patriot Act），禁止情報組織擅自且無限制地蒐集民眾通訊紀錄。</p> <p>至於近日的《美國自由再授權法案》則是加入了已經過期的FISA規定，包括允許FBI秘密地取得與國際恐怖份子有關的商業紀錄，監控特定人士所有電子設備，以及針對涉嫌參與恐怖行動的對象展開調查。</p> <p>不過，有幾名參議員曾經建議《美國自由再授權法案》所新增的FISA規定，應該不得用來存取使用者的搜尋及瀏覽資料，且同時受到蘋果、微軟、Google、臉書與Twitter<a href="https://www.reformgovernmentsurveillance.com/rgs-supports-amendments-to-the-usa-freedom-act-of-2020/" target="_blank">等業者的支持</a>，只是該提案並未出現在本月中通過的版本，而讓Mozilla等業者再度出面呼籲。</p> <p><a href="https://blog.mozilla.org/blog/2020/05/22/usa-freedom-and-browsing-history/" target="_blank">Mozilla解釋</a>，該法案所謂的搜尋與瀏覽歷史紀錄，指的並不是存放在使用者電腦上的瀏覽內容，而是由第三方所儲存的資料，像是ISP業者儲存了使用者造訪的所有網站，或是所停留的網頁，所點選的連結，甚至是瀏覽器的同步資料，這些資料最初是因商業因素而存在，從來不是為了方便執法。</p> <p>業者則在公開信中表示，搜尋與歷史紀錄提供的是私人生活的詳細訊息，可能是醫療、宗教信仰或是人際關係，理應受到有效的法律保障，有些業者不蒐集這些資訊，就算是蒐集的業者也被法院要求以高標準來保護資訊，大家都認為這類的資訊只能藉由搜索票提供，國會應該藉此解決任何潛在的爭議，替搜尋與瀏覽紀錄提供有力的保護。</p> <p>在此一公開信上署名的組織包括Mozilla、Engine、Reddit、Reform Government Surveillance、Twitter、i2Coalition與Patreon。</p> </div></div></div>
2020/5/26 10:30作者陳曉莉https://www.ithome.com.tw/news/137836
GitLab 13.0發布，新增Gitaly叢集提高儲存可靠性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/releases/2020/05/22/gitlab-13-0-released/">GitLab釋出了最新的13.0版本</a>，這個版本更新重點在於提升服務的可靠性，以及強化漏洞管理，對於AWS環境也提供更好的支援，讓用戶能將程式碼簡單地部署到雲端。</p> <p>在這個版本，GitLab推出Gitaly叢集功能，以確保Git的高可用性，Gitaly叢集可讓企業創建多個暖備份，以應付突如其來的故障。GitLab透過移除故障節點、偵測故障和自動切換到備份上，以提供Git儲存的高可用性，因此當系統單獨的元件故障，並不會影響終端使用者的體驗。</p> <p>Git儲存庫是由Gitaly和Praefect處理，Praefect是GitLab為Gitaly建置的新路由器和交易管理器，以協調選出主控節點以及非同步備份工作，GitLab提到，使用Gitaly節點，Git資料的請求會被路由經多個Praefect節點到Gitaly節點，因此當發生故障，總會有多個暖備份可立即接手。</p> <p>GitLab 13.0良好地支援AWS，過去GitLab使用者無法輕易將應用程式部署到AWS中，必須要自己摸索配置的方法，而在最新GitLab版本，Auto DevOps開始支援AWS，即便用戶沒有使用Kubernetes，還是可以利用Auto DevOps程式部署到AWS ECS（Elastic Container Service），Auto DevOps現在具有開箱即用的完整交付工作管線，可以簡化並且加速交付和雲端部署，用戶只要提交程式碼，Auto DevOps便會完成剩下的工作。</p> <p>GitLab也強化了漏洞管理，官方實作了漏洞物件模型，以囊括整個漏洞管理生命周期。當每個漏洞被發現時，都能夠被指派唯一的URL，讓用戶直接連結、共享、引用和追蹤單一事實來源，而在漏洞管理網頁上，漏洞的狀態可被標示為已偵測、已確認、已移除和已解決，而且能以各種變數，隨著時間發展回報群組和專案漏洞趨勢。</p> <p>繼GitLab 11.0對.NET Core的支援後，現在SAST（Static Application Security Testing）安全掃描開始支援.NET Framework，官方提到，就如同其他SAST工作班，這將使用GitLab Runners執行，未來也會支援Windows Runners。</p> <p>另外，開發工具能夠自訂主題，對長時間工作的用戶非常重要，因為深色主題能夠減少眼睛疲勞，官方提到，深色主題是用戶積極要求的功能，因此他們從GitLab 13.0開始，在網頁IDE上支援深色主題。</p> </div></div></div>
2020/5/26 11:05作者李建興https://www.ithome.com.tw/news/137835
看懂MITRE ATT&CK資安產品評測結果，先瞭解6大偵測類別含義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去，要瞭解防毒軟體的能力，就是用惡意程式來比偵測率，但若要瞭解端點防護產品，對於攻擊入侵手法的偵測能力，則是一直沒有很好的評估作法。</p> <p>隨著MITRE ATT&CK框架的興起，由於彙整了現實駭客組織的入侵技術，並建立了共通語言，成為企業與資安產業都受益的工具，而MITRE近年更利用ATT&CK框架，發起一項評估計畫，透過模擬駭客實際攻擊過程，來考驗資安產品。因此，與Gartner及Forrester等研究機構的產品評比相比，ATT&CK評測是以更技術性的角度，來解析產品技術能力。</p> <p>目前這項ATT&CK評估計畫，MITRE已進行兩輪評測，首輪在2018年進行，初期有7家資安業者參與，我們在2019年上半開始關注其發展，後續發現又有5家業者加入評測，到了2019年下半，第二輪評估計畫推出，參與業者增至21家。</p> <p>2020年4月，MITRE公布第二輪評測結果，讓各界對於21家業者的端點資安產品，在其偵測能力上有更具體的認識。</p> <h2><strong>先從兩大層面理解評測內容</strong></h2> <p>不過，要瞭解ATT&CK評測結果之前，對於這次評測的一些背景資訊要有一定的認識，也就是要瞭解遊戲規則，才能知道遊戲結果的真正意義。我們簡單分成兩個層面來看，一是攻擊設想的對象，另一是偵測類別的定義。</p> <p>以攻擊設想對象而言，簡單來說，ATT&CK框架已經彙整出200多種攻擊技術，目前每輪的評測，都是根據一個駭客組織所使用的入侵手法，來模擬真實攻擊活動，因此並非一次針對全部手法測試。例如，首輪攻擊設想對象，是中國駭客組織APT3，第二輪則是以俄羅斯駭客組織APT29為對手。</p> <p>因此，每輪評測使用的攻擊手法會有差異。舉例來說，在第二輪模擬的APT29攻擊，該組織很少用惡意程式，大多是無檔案攻擊，透過PowerShell入侵，考驗的偵測能力就不同。</p> <h2><strong>評測定義的6大偵測類別，可代表不同資訊描述深度</strong></h2> <p>另一個重點，就是要瞭解評測所定義的偵測類別。例如，雖然是制定6種主要偵測類別（Detection Categories），但兩輪的內容有很大變動，而輔助的偵測形容標籤（Modifier），也從3種擴增至7種。簡單來說，在偵測類型畫分更細的情況下，將有助於產品偵測能力的解析，這也顯示MITRE會持續修正他們的評測計畫。</p> <p>特別的是，這些偵測類型在評測結果上的呈現，MITRE不會將結果量化成分數，來比較高下，只聚焦於展示產品偵測能力，也就是更精準呈現這些偵測成功是如何發生，將原始的結果資料公布，而不是像過往如防毒軟體AV-Test的評測，會有主觀性的評分方式。</p> <p>基本上，關於第二輪評估計畫的偵測類型，主要的偵測類別分為 None（無偵測）、Telemetry（遙測），以及MSSP（人工分析），還有General（一般）、Tactic（戰術）與Technique（技法）。</p> <p>由於這些內容看起來實在複雜，因此，我們詢問參加這輪評估計畫的奧義智慧，請他們導讀，看懂ATT&CK評測結果所需要知道的偵測類型意義。</p> <p>根據該公司創辦人邱銘彰的說明，這些偵測類別其實可以畫分為兩大類，除了None是沒有成功偵測到入侵手法，其中MSSP與Telemetry可視為專家服務分析，General、Tactic與Technique屬自動化產品分析。</p> <p>而就成功偵測的資訊描述深度而言，Telemetry屬於資訊精確度最低的偵測類型，包括像是產品記錄到的Log資訊等；General則是可以自動偵測到惡意的行為，但還不夠具體；Tactic不只偵測到惡意行為，還能進一步偵測到攻擊策略；Technique是資訊精確度最高的偵測類型，可以更進一步偵測到並指出明確攻擊的手法，可說是最好偵測能力展現。</p> <p>至於MSSP，等於是考驗產品服務背後，廠商所具備的服務能量與技術能力，是否同樣能夠發現到攻擊過程。</p> <p>值得注意的是，要確實理解偵測能力，不能只看偵測類別，MITRE還定義了輔助用的形容標籤，包括7大類，分別是Alert（警告通知）、Correlated（關連）、Delayed（延遲）、Host Interrogation（主機調查）、Residual Artifact（殘存證據）、Configuration Change（組態變更）與Innovative（創新）。而這些標籤的重要性，在一些狀況下，也不弱於既定的6大偵測類別。</p> <p>邱銘彰指出，在這些偵測類別的輔助形容標籤中，最重要的就是Alert一項，也是大家最容易搞混的地方，他認為，如果用Notified來說明，大家會比較容易理解，也就是指系統有發出警告通知使用者。</p> <p>其他方面，例如，Correlated是指能與攻擊者所做的其他事關聯，Delayed則說明了偵測結果是經過人工分析，因此是延遲而非即時的資訊，即便評測時，廠商要求更動設定後所得的偵測結果，MITRE也會標註。這樣的作法，確實讓偵測能力的展現可以更細膩。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%A7%A3%E6%9E%90%E7%95%B6%E7%B4%85ATT%26CK%E8%A9%95%E6%B8%AC%E7%B5%90%E6%9E%9C.png" style="width: 600px;" /></p> <blockquote><p><strong>畫分6大偵測類別與7個偵測形容子類別</strong><br /> 在第二回合ATT&CK評估計畫中，MITRE將偵測能力做出更細緻且具體的畫分，圖中紅色圖示屬於有效即時偵測類別。</p> </blockquote> <h2><strong>用戶可藉由橫向比較工具，檢視企業在意的攻擊手法</strong></h2> <p>接下來，我們繼續探討<a href="https://attackevals.mitre.org/evaluations.html?round=APT29">第二輪ATT&CK評測的結果</a>。基本上，這輪ATT&CK評估測試在模擬APT29的攻擊過程中，共分成20大步驟，並細分為140個攻擊流程。在此當中，由於第19大步驟因爭議而取消，實際評測結果是134個攻擊流程。</p> <p>換言之，在評測結果中，針對這1百多個攻擊流程，都會呈現資安業者產品的偵測能力。那麼，我們我們該如何看待整體評測結果？</p> <p>企業必須瞭解的是，MITRE在這項計畫不會提供主觀的評論，沒有幫偵測結果打分數，只是單純展現各資安產品面對一連串攻擊流程的偵測能力與程度，並提供評測當下的產品介面截圖。</p> <p>因此，單純從MITRE ATT&CK網站上發布的評測結果來看，使用者可以看到的是，以各廠商角度來檢視對於134個攻擊流程的偵測能力，並用圖表形式顯現廠商獲得的偵測類型數量。</p> <p>特別的是，MITRE為了幫助使用者更容易瀏覽這些資料，今年，他們新提供了一項<a href="https://attackevals.mitre.org/technique_comparison.html?round=APT29&step_tid=1.A.1_T1204&vendors=">Technique Comparison Tool</a>，簡單來說，它就是一個橫向比較的工具。對於使用者而言，幫助很大，因為這讓使用者檢視評測結果時，能以過濾的方式，針對企業所在意的個別的攻擊行為，來一一比較各家廠商的偵測能力與程度。</p> <p>例如，針對某項攻擊技術手法，廠商是否能夠偵測得到，偵測到的結果又是到什麼程度，譬如說，偵測結果是即時還是非即時提供，偵測結果是有原始資料，還是能夠自動偵測到惡意行為，又或是還能指出攻擊策略，或是更進一步明確指出攻擊手法，還是透過業者的MSSP服務，也能分析得到結果。此外，偵測到是否會發出通知提醒用戶，能否與其他攻擊手法做到關連等。</p> <p>無論如何，這樣透明的結果呈現，好處是，可以更精準呈現這些偵測成功是如何發生，讓所有廠商產品的偵測能力都完整展現，一方面MITRE是要促使各家廠商能持續進步，一方面是要讓企業能夠瞭解，何種產品可能適合自己。</p> <p>但是，也因為沒有一個標準的評分方式，因此我們可以看到，各家參與廠商最常見的作法，就是針對MITRE公布的偵測結果，將偵測類別加以統計與排名，這的確是一種衡量方式，突顯各家在不同層面的強項。但還要注意的是，從評測結果其實可看出，在每項攻擊手法中，廠商得到的成功偵測數量可能不只一個，因此，也有廠商的解讀，是會依據不重複攻擊手法來計算偵測結果。</p> <p>當然，對於不同偵測能力的展現，還是有其個別的意義存在，畢竟，各家資安防禦的切入點都不盡相同，因此設計重點本就各自有擅長之處，但至少，這種模擬真實駭客攻擊情境的方式，給予一個盡可能公平的基礎。</p> <h2><strong>每輪評估計畫都將持續進化</strong></h2> <p>最後要說明的是，對於企業而言，要看懂這次的評測結果，除了要瞭解ATT&CK架構與評測內容，另一方面，其實也要了解本身的需求與重點，如此一來，才能讓評測的結果應用到企業的實際情況。</p> <p>同時，使用者還要認知的是，MITRE目前定義的偵測類別後續可能還會調整，測試的內容與範圍也可能擴大。相較於第一輪評測的偵測類別定義，其實，第二輪的偵測類別定義已大有進步，儘管可能還是有不完美之處需要調整。</p> <p>現在，MITRE也已發布第三輪評估計畫，設想的攻擊對手將是Carbanak與FIN7，兩者均是專門攻擊金融業的駭客組織，但在評估內容方面，目前可能取消MSSP的偵測類別，主要可能是因為評估難有衡量的準則，另外，也傳出可能增加防護能力的評測項目。這意謂著，MITRE未來不僅考驗產品面對實際駭客攻擊時的偵測能力，同時還要有防護能力。此外，MITRE評測的端點環境，之前多以Windows平臺為主，未來是否也將擴增至其他作業系統平臺，甚至是網路層面，同樣值得關注，將讓這項資安產品評測更擴大。</p> <p> </p> <h1><span style="color:#0099ff;"><strong>可針對重視的攻擊手法，橫向比較評測結果</strong></span></h1> <p><span style="color:#0099ff;"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖1B）解析當紅ATT%26CK評測結果.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E8%A7%A3%E6%9E%90%E7%95%B6%E7%B4%85ATT%26CK%E8%A9%95%E6%B8%AC%E7%B5%90%E6%9E%9C.jpg" style="width: 600px;" /></a></strong></span></p> <p>對於ATT&CK評估計畫的偵測結果，企業除了可從各家業者的角度，檢視所有攻擊流程的偵測能力表現，MITRE也提供便於橫向比較的Technique Comparison Tool，讓企業可針對在意的個別的攻擊行為，來比較各家的偵測能力。</p> <p>在<a href="https://attackevals.mitre.org/technique_comparison.html?round=APT29&step_tid=1.A.1_T1204&vendors=">Technique Comparison Tool</a>介面上，最左側區域①是140項攻擊手法，使用可以選擇想要比較項目，②是可以選擇比較的廠商，③是呈現出評測的偵測結果。另外，最右側區域④則是偵測相關說明，這裡同時附上了評測過程中，系統有偵測到惡意行為時的系統截圖的連結，讓外界能夠更具體瞭解偵測當下的情況。</p> <p>值得注意的是，偵測類別結果③可能是外界最不容易搞懂的部分。因為，MITRE除了定義6大偵測類別（Detection Categories），同時也設計了7個重要的輔助形容（Modifiers）的標籤。</p> <p>因此，對於每項攻擊流程，MITRE所給出的偵測結果，其實都會有偵測類別與輔助形容標籤，並不只是單純的偵測類別。同時，也還有每個成功偵測都有系統截圖供用戶檢視。</p> <p> </p> <h1><strong><span style="color:#0099ff;">不只認識偵測類別，也要看懂形容標籤的含義</span></strong></h1> <p><strong><span style="color:#0099ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E8%A1%A8%E6%A0%BC%EF%BC%89%E8%A7%A3%E6%9E%90%E7%95%B6%E7%B4%85ATT%26CK%E8%A9%95%E6%B8%AC%E7%B5%90%E6%9E%9C.jpg" style="width: 600px;" /></span></strong></p> <p>為了幫助大家理解ATT&CK評估計畫，在偵測結果上的呈現，奧義智慧創辦人邱銘彰設計了一個矩陣，來說明輔助形容標籤的定位。</p> <p>舉例來說，在此定義的Alert，就是系統會通知IT人員要注意，不過這樣的標籤不會單獨出現，會是依附在偵測類型之下，而有Alert結果出現的地方，只有在General、Tactic與Technique，這也說明了為何這三個類別才屬於有效即時偵測，而MSSP與Telemetry，就一定不會有Alert出現。基本上，在測試項目若同時獲得Technique與Alert的結果，可視為最好的表現。但是，相對而言，評測結果若獲得這三個偵測類別，業者的系統其實不一定會發出警告，因此有其他標籤來說明，但這是較不常出現的狀況。</p> <p>再舉另外一例，像是MSSP的偵測類別，就只會搭配Delayed這一種標籤出現，不過Delayed則是會搭配多個偵測類別出現，說明這是經過進一步分析，根據較晚才能獲得的資料，才做到成功偵測。</p> <p> </p> <h1><strong><span style="color:#0099ff;">如何從評測結果挑選符合自己的資安產品？</span></strong></h1> <p>在第二輪ATT&CK評估計畫結果公布後，由於呈現出134項攻擊流程的偵測結果，加上偵測類別的定義也都相當細膩，因此，要從整體角度來看評測結果，有那些外界觀點值得重視呢？</p> <p>基本上，針對各項偵測結果的統計加總，就是最常見的方式。舉例來說，像是成功偵測的數量上，哪家業者獲得最多的Technique、最多Alert、最多的Telemetry，又或是最多的Technique＋Tactic＋General，還可以從各項19大攻擊步驟，或是134項攻擊流程，來呈現產品在偵測率、覆蓋率的能力表現。而這些也就是多數參與廠商會強調的部分，因為可以突顯自家業者的優勢，以及在廣泛或特定項目的偵測能力。</p> <p>特別的是，我們看到有業者反向思考，從偵測表現差的角度，建議用戶最好不要選擇。例如，卡巴斯基在官方部落格上<a href="https://securelist.com/attck-evaluation-results/96849/">發文</a>指出，以評測19大步驟來看，若廠商在許多步驟都沒有獲得任何General、Tactic、Technique與MSSP的話，代表在眾多攻擊步驟層面，產品完全沒有提供較有效偵測。</p> <p>因為有半數以上的廠商，最多只有一大步驟，是沒有獲得上述4種偵測類別，但這次評測有兩家業者表現較不理想，例如Malwarebytes與ReaQta，他們共有9大步驟，完全沒有獲得上述這4個偵測類別。</p> <h2><strong>從使用者需求角度著手，並注意評測上還不足以展現的</strong></h2> <p>儘管多數資訊都是從評測結果統計資訊著手，是企業參考的資訊之一，我們這次也詢問參與評測的臺灣資安業者，是否有其他專家見解，能夠幫助用戶解讀。</p> <p>例如，奧義智慧推薦的是專精美國國防領域的資料分析科學家Jonathan Ticknor，他從使用者需求面來看待評測結果。在Jonathan Ticknor的個人部落格上，他對於新一輪的ATT＆CK評估計畫結果，提出他自己的分數量化標準。最特別的地方是，他將使用者分成三種類型，包括有自建SOC但營運還不成熟的公司，SOC營運較成熟的公司，以及考慮購買MSSP服務類型的公司。也就是說，他會依據使用者需求來看待評測結果，畢竟各企業環境大不相同，對於所需的產品考量上也就有別。</p> <p>因此，他將不同的偵測結果的類型與輔助形容描述，畫分出4分、2分、1分、0分，以及0.75分、0.5分與0.25分，再計算出總分。不僅如此，他對於三種類型的需求，也還各自定義出不同的評分方式。</p> <p>在其他專家見解上，趨勢科技推薦了一位資深分析師，是來自全球市調研究機構Forrester的Josh Zelonis。他其實很早就關注這項評測，並對第一輪評測結果自定一套評分標準，對於第二輪評測結果，他在Forrester官方部落格發表的文章，則是探討用戶在看評測結果時，可能存在的盲點，主要關於警報疲勞層面的問題，他從警告的效率與警告的質量，給出計算與定義，提供評測結果之外所需注意的面向，也很值得用戶去思考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%A7%A3%E6%9E%90%E7%95%B6%E7%B4%85ATT%26CK%E8%A9%95%E6%B8%AC%E7%B5%90%E6%9E%9C.jpg" style="width: 600px;" /></p> <blockquote><p>對於如何看待ATT&CK評估計畫，瞭解企業本身的需求也很重要。例如，一位在美國國防單位工作的專家<a href="https://medium.com/@jonathan.ticknor1/quantifying-the-mitre-att-ck-round-2-evaluation-fa9c39765a26">Jonathan Ticknor，他將使用者需求分成三種類型</a>，分別是不成熟的SOC、成熟的SOC與與依賴MSSP的企業，並且各自建立出一套評分標準。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%A7%A3%E6%9E%90%E7%95%B6%E7%B4%85ATT%26CK%E8%A9%95%E6%B8%AC%E7%B5%90%E6%9E%9C.jpg" style="width: 600px;" /></p> <blockquote><p>對於ATT&CK評測結果，有專家給出評測之外的不同觀察，例如，市調研究機構<a href="https://go.forrester.com/blogs/further-down-the-rabbit-hole-with-mitres-attck-eval-data/">Forrester的資深分析師Josh Zelonis，他從警告質量的角度來提醒使用者</a>，因為這是評測結果所不易看出的面向。</p> </blockquote> </div></div></div>
2020/5/25 12:54作者羅正漢https://www.ithome.com.tw/news/137821
Chromium專案中的70%安全缺陷是記憶體安全問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.chromium.org/Home/chromium-security/memory-safety">Chromium專案研究人員經研究發現</a>，專案中的所有高嚴重性安全漏洞，其中有70％來自於記憶體安全漏洞，也就是由C/C++指標操作錯誤所造成，而這些錯誤中又有一半是使用後釋放（Use-After-Free）的臭蟲。</p> <p>這個結果來自於對2015年以來，Chromium的912個高或嚴重安全性臭蟲，對穩定版本所造成影響的研究，這些臭蟲平均分布在程式碼庫中，並且其中有一大部分非穩定性錯誤，是由同樣類型原因造成，這些漏洞讓使用者暴露在風險之中，同時還增加了修補和交付Chrome的成本。</p> <p>雖然Chromium的安全基礎架構的設計，便是預設程式碼庫存在這些臭蟲，並用沙盒降低臭蟲所產生的傷害，但研究人員提到，這並非解決問題的根本之道。Chromium會用沙盒執行程式碼，當其中臭蟲遭到利用，便可以防止駭客接管主機，在過去幾年，Chromium一再強化了安全基礎架構，確保網站相互隔離，而這些工作也確保Chromium能夠走在攻擊者之前，讓Chromium免於嚴重的安全威脅。</p> <p>但是研究人員認為，Chromium已經達到了沙盒和網站隔離的極限，其中最重要的限制是，雖然程序是隔離的最小單位，但是以程序進行隔離的成本並不低，尤其是在Android上，過多的程序會影響裝置運作狀況，有可能使像是其他應用程式或是瀏覽器的分頁籤等後臺程序，被終止的頻率變高。</p> <p>目前仍有程序共用多個網站的資訊，像是由C++編寫的網路服務，就是一個大型元件，用來解析來自網路上各種複雜的輸入，根據Chromium的開發第二規則，網路服務是一個大型且易受攻擊的目標，具有許多嚴重的漏洞，落在毀滅區間（Doom Zone）中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Unknown.png" style="width: 600px;" /></p> <p>要用網站隔離的想法來處理網路服務為不可能的任務，雖然當把每個網路服務程序都綁定單一網站，會大大提升網路服務的安全性，但這也會使Chromium程序數量激增，進而嚴重影響效能。研究人員表示，在堅持第二規則的情況下，會衝擊Chrome新功能的開發，因為要啟動一個新的程序來處理不可信資料的成本太高。</p> <p>研究人員指出，現在已經無法從更多程序或是更強大的沙盒，來抵禦攻擊者新型的攻擊，而成本最低的做法，便是從源頭減少錯誤。因此Chromium專案研究人員正著手研究，採取解決記憶體不安全問題的所有必要手段，包括自定義C++函式庫，加入硬體緩解方案，並在適當的地方使用更安全的語言。</p> <p>總結主要方法的兩個方向，其一是大幅更改C++的開發方法，像是禁止使用原始指標等，但這些作法可能連帶影響程式效能，另一個方向，則是為程式語言設計編譯時的安全檢查，雖然對效能的影響較小，但是在橋接C++和新語言時會有一些麻煩。</p> </div></div></div>
2020/5/25 16:25作者李建興https://www.ithome.com.tw/news/137826
奇虎360也被美國納入實體名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）旗下的工業暨安全局（Bureau of Industry and Security，BIS）<a href="https://www.commerce.gov/news/press-releases/2020/05/commerce-department-add-two-dozen-chinese-companies-ties-wmd-and" target="_blank">宣布</a>，將把33家中國組織或企業列入實體名單（Entity List），而中國最大資安業者奇虎360（Qihoo 360 ）也出現在名單中。</p> <p>迄今BIS已把華為及其114家關係企業納入實體名單中，此次新增的33家中國組織或企業中，包括奇虎360在內的24家業者，被認為與大規模殺傷性武器及軍事活動有關，意味著美國企業不得擅自銷售或出口商品予這些組織，必須先取得商務部的同意。</p> <p>2005年成立的奇虎360主要開發防毒軟體、瀏覽器與行動市集等產品，迄今已推出上百款的桌面程式、行動程式與服務，且範圍不僅限於資安領域，也跨及遊戲、旅遊、金融及娛樂等。</p> <p>BIS表示，這24家業者從事了違反美國國家安全與外交政策利益的活動，它們的總部位於中國、香港與開曼群島，主要支援中國軍方用戶的商品採購。除了奇虎360之外，另一個受到矚目的則是Cloudminds，這是一家專門開發雲端智慧機器人的新創業者，日本軟體銀行及富士康都是其股東。</p> <p>多家中國媒體引用了奇虎360對此事的聲明，表示該公司堅決反對美國這種不負責任的指控，也反對美國商務部把商業活動與技術研發政治化的作法，批評美國的制裁是為了削弱中國的網路安全防禦能力，受益的將是駭客組織與相關的攻擊行動，勢必對全球的網路安全帶來負面的影響。</p> <p>至於另外11家在同一天被納入實體名單的組織，則是因為涉及在新疆維吾爾自治區侵犯人權而受到美國的制裁。BIS宣稱它們參與了中國的鎮壓活動，虐待與侵犯人權。</p> </div></div></div>
2020/5/25 16:05作者陳曉莉https://www.ithome.com.tw/news/137827
unc0ver釋出支援所有新版iOS的越獄工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的iOS越獄工具開發團隊unc0ver在近日<a href="https://unc0ver.dev/" target="_blank">釋出</a>了unc0ver 5.0，宣稱能夠支援所有最新版本的iOS，從iOS 11.0到蘋果甫於上周發表的iOS 13.5。根據蘋果App Store的統計，大約有77%的iPhone用戶使用iOS 13，有17%使用iOS 12，換言之，unc0ver 5.0可用來替至少94%的iPhone用戶越獄。</p> <p>unc0ver表示，該團隊所開發的同名工具是為了提供一個穩定的管道，允許使用者替自己的裝置越獄，採用更彈性的執行環境政策，讓使用者所執行的程式不再受限於蘋果的認證或其它各種限制，儘管其執行環境的變更可能會波及安全功能，但其工具保留了可用來保護個人資訊與裝置的安全設計，以在執行各種越獄程式時依舊能防範攻擊。</p> <p>此外，越獄後的iOS裝置也依然支援內建的 iCloud、iMessage、FaceTime、Apple Pay、Visual Voicemail、天氣及股票功能，也能安裝之後蘋果所釋出的iOS更新，只是無法保證屆時還存在越獄能力。</p> <p>unc0ver團隊之所以光明正大地發表越獄工具，是因為《千禧年著作權法案》（Digital Millennium Copyright Act，DMCA）<a href="https://www.ithome.com.tw/news/99622" target="_blank">保障</a>了破解手機的消費者權利，該團隊亦允許使用者移除所安裝的越獄工具。</p> <p>在安裝了越獄工具之後，使用者即可下載來自蘋果App Store以外的行動程式，但過去蘋果曾多次呼籲，將裝置越獄可能削弱裝置的安全性，且安裝未經蘋果審核的程式，也容易讓使用者曝露於安全威脅中。</p> </div></div></div>
2020/5/25 14:25作者陳曉莉https://www.ithome.com.tw/news/137823
HPE營收下滑16%，股價大跌11%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供企業軟/硬體解決方案的Hewlett Packard Enterprise（HPE），<a href="https://www.hpe.com/us/en/newsroom/press-release/2020/05/hpe-reports-q2-results.html" target="_blank">公布</a>截至今年4月30日的2020財年第二季財報，因疫情對經濟所造成的影響，該季只創造了60億美元的營收，比去年同期下滑了16%，每股盈餘為0.22美元，低於去年同期的0.42美元。這讓HPE發表財報後的隔天（5/22），股價大跌11.49%，以9.17美元作收。</p> <p>HPE該季的所有營收類別都是下滑的。在60億美元的營收中，有26億美元來自於以伺服器為主的運算部門，下滑了19%，主因為疫情所帶來的供應鏈受創與零件短缺問題；第二大收入來自於儲存部門的11億美元，但也下滑了16%，原因同上；金融服務部門的營收為8.33億美元，下滑5%；智慧邊緣的營收為6.65億美元，下滑2%；高效能運算的營收為5.89億美元，下滑18%；顧問營收為2.37億美元，亦下滑8%。</p> <p>HPE執行長Antonio Neri表示，該公司將採取決定性的措施來因應目前不穩定的局勢，確保資源可分配到成長的領域，以便加速其「邊緣到雲端」的政策，同時在後疫情時代滿足客戶的需求。</p> <p>儘管HPE並未在官方新聞稿中公布「決定性措施」的細節，但根據外電<a href="https://www.reuters.com/article/us-health-coronavirus-hpe/hewlett-packard-enterprise-lays-out-1-billion-savings-plan-pay-cuts-idUSKBN22X2O7" target="_blank">報導</a>，Neri於財報會議中透露，從7月1日起到今年年底，執行長與執行副總裁階級的高階主管將減薪25%，而資深副總裁亦會減薪20%，另也準備整併全球的辦公室並展開裁員行動，惟迄今裁員的規模未定，目前HPE在全球約有6.1萬名員工。</p> <p>疫情所造成的全球經濟衰退也波及大型科技企業，除了HPE之外，IBM已對外<a href="https://www.ithome.com.tw/news/137817" target="_blank">證實</a>將展開裁員行動，DELL則是在今年凍結了薪資、升等與人力招募。</p> </div></div></div>
2020/5/25 14:35作者陳曉莉https://www.ithome.com.tw/news/137824
微軟2021年合併Windows 10 IoT Core及IoT Enterprise 版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周Build 2020<a href="https://news.microsoft.com/build-2020-book-of-news/" target="_blank">宣布</a>，將把Windows 10 IoT Core及Windows 10 IoT Enterprise兩個版本合併為一，預計2021年釋出第一版，同時也承諾新版本將更精簡，且增加執行Linux容器等新功能。</p> <p><a href="https://docs.microsoft.com/en-us/windows/iot-core/windows-iot-core" target="_blank">Windows IoT Core</a>跑在小型連網智慧裝置上，執行UWP App，除了Intel CU也支援ARM CPU。<a href="https://docs.microsoft.com/en-us/windows/iot-core/windows-iot-enterprise" target="_blank">Windows IoT Enterprise</a>則具有Windows 10完整功能，使IoT裝置也能具備企業管理及安全性。未來新合併的版本則以Windows 10 IoT Enterprise為名，並於今年內釋出給Insider測試開發人員，2021年釋出正式版。</p> <p>微軟並未說明合併的理由，只說明新的Windows 10 IoT Enterprise將新增多項功能及支援晶片種類。例如OS大小將縮減40%以便跑在小型裝置上，未來也可以OTA（over-the-air）更新，可透過Azure IoT Edge on Windows支援，以Windows跑Linux容器應用。</p> <p>現在僅（舊的）IoT Enterprise提供LTSC （Long-term Servicing Channel）及SAC （Semi-Annual Channel）版本。微軟承諾，下一個LTSC版本，將同時涵蓋IoT Core及（舊的）IoT Enterprise ，而新的Windows 10 IoT Enterprise的LTSC版本，也會在2021年釋出。</p> <p>此外，新的Windows 10 IoT Enterprise 除了現有Intel、AMD及Qualcomm處理器外，也將支援NXP的i.MX8處理器。現有夥伴如華碩及安富利（Avnet），也會支援NXP處理器上跑IoT Core。</p> </div></div></div>
2020/5/25 14:00作者林妍溱https://www.ithome.com.tw/news/137822
英國傳2023年前將汰除華為5G網路設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周英國媒體<a href="https://www.telegraph.co.uk/politics/2020/05/22/boris-johnson-reduce-huaweis-role-britains-5g-network-wake-coronavirus/" target="_blank">每日電訊</a>、<a href="https://www.theguardian.com/technology/2020/may/22/boris-johnson-forced-to-reduce-huaweis-role-in-uks-5g-networks" target="_blank">衛報</a>報導，武漢肺炎引發的反中情緒下，英國政府可能將一改之前決定，將在2023年逐步從國內5G網路中移除華為的設備。</p> <p>報導指出，英國首相Boris Johnson目前正在草擬一項電信政策計畫，將華為在英國電信基礎架構的市佔率，在2023年之前由原訂的35%將為0%。</p> <p>Johnson領導的內閣一月取得英國網路安全中心（National Cyber Security Center, NCSC）的背書，允許英國電信網路流量通過華為等「高風險廠商」設備上限為35%，其基地台數量比例上限也為35%，<a href="https://www.ithome.com.tw/news/135550" target="_blank">理由</a>是風險可控。</p> <p>但是仍有許多人士對華為設備存有國安疑慮。三月初，執政的保守黨大老議員<a href="https://www.theguardian.com/politics/2020/mar/10/government-wins-huawei-vote-despite-tory-rebellion" target="_blank">提出修正案</a>，要求2022年底前將這個比例降為0，並有近40名保守黨議員倒戈。雖然這個提案表決並未過半，但消息人士指出，執政黨中支持反華為的人數持續增加，迫使Johnson做出推翻之前政策的決定。</p> <p>報導也指出，英國政府正在起草計畫，計畫在醫療及科技方面降低對中國的經濟依存。不過英國總理府並未對這些消息做出評論。</p> <p>英國政府的最新決定，也突顯武漢肺炎引發各國反中情緒。以美國為首的西方陣營批評，中國早期隱匿疫情，是造成這波全球公衛災難及數萬人死亡的元兇。英國政策若轉彎，將使其成為繼美國、澳洲之後，另一個排除華為5G設備的國家，美國此前一直要求其他國家，支持美方5G政策的反中策略。</p> <p>歐洲另一龍頭德國並未順應美國意志，總理梅克爾2月<a href="https://www.aljazeera.com/ajimpact/huawei-germany-merkel-risky-ban-5g-provider-200123202320425.html" target="_blank">表示</a>禁止任何5G廠商都是危險的，而德意志電信及Vodafone德國，也都<a href="https://www.sdxcentral.com/articles/news/deutsche-telekom-vodafone-germany-embrace-5g-dss/2020/04/" target="_blank">採用</a>華為設備建立其5G網路。</p> <p>美國持續擴大防堵華為措施。上周美國商務部<a href="https://www.ithome.com.tw/news/137665" target="_blank">宣布</a>新命令，凡是使用美國技術的半導體業者如果要供貨給華為，必須取得政府核准，意在斷絕華為取得美國高科技軟、硬體技術。</p> </div></div></div>
2020/5/25 12:05作者林妍溱https://www.ithome.com.tw/news/137820